Resolución sancionatoria N° 3038 de 2023

(24 ABRIL 2023) “Por la cual se impone una sanción administrativa” Radicación 21-277656 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad EFECTIVO LTDA., identificada con el Nit. 830.131.993-1, por lo que decidió iniciar investigación administrativa mediante la Resolución N°. 46690 del 27 de julio de 2021 en consideración a la remisión realizada por el Grupo de Trabajo de Habeas Data, el cual en la parte considerativa de la Resolución N°. 71752 del 10 de noviembre de 2020 evidenció que: “6.1 Respecto a la solicitud de supresión de información personal del Titular.

Frente a la posibilidad que tienen los titulares de solicitar la supresión de su información, el literal e) del artículo 8 de la Ley 1581 de 2012 establece lo siguiente: (…) e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.

La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución, (…). De igual modo dicha facultad se encuentra contenida en el artículo 2.2.2.25.4.3 del Decreto 1074 de 2015 de la siguiente manera: (…) Artículo 2.2.2.25.4.3 Del derecho de actualización, rectificación y supresión. En desarrollo del principio de veracidad o calidad, en el tratamiento de los datos personales deberán adoptarse las medidas razonables para asegurar que los datos personales que reposan en las bases de datos sean precisos y suficientes y, cuando así lo solicite el Titular o cuando el Responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos, de tal manera que satisfagan los propósitos del tratamiento (…).

Al respecto, es oportuno señalar que los citados artículos establecen que los titulares pueden solicitar la actualización, rectificación y supresión de su información personal cuando en el tratamiento no se respeten los principios, derechos y garantías constitucionales y legales o que el dato resulte, inexacto, incompleto, fraccionado, induzca a error o aquellos cuyo tratamiento este expresamente prohibido o no haya sido autorizado; pero siempre y cuando la Superintendencia de Industria y Comercio “haya determinado que en el tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley (la 1581 de 2012)”.

Empero, la Corte Constitucional, en la sentencia que analizó la exequibilidad de la citada ley, determinó que al fijar el legislador tales condiciones, limitó desproporcionadamente el ejercicio del derecho fundamental de habeas data. En efecto, dicha Corporación indicó en Sentencia C-748 del 6 de octubre de 2011 que: (…) el individuo también es libre de decidir cuales informaciones desea que continúen y cuáles deben ser excluidas de una fuente de información, siempre y cuando no exista un mandato legal que le imponga tal deber, o cuando exista alguna obligación contractual entre la persona y el controlador de datos, que haga necesaria la permanencia del dato (…).

HOJA N, “Por la cual se impone una sanción administrativa” Continúa señalando que: (…) considerar lo contrario significaría que los administradores de la información pudieran disponer libremente y sin término definido, de los datos personales del sujeto concernido y, en consecuencia, aquel quedaría privado materialmente de la posibilidad de ejercer las garantías previstas a su favor por el Texto Constitucional.

Además, la jurisprudencia constitucional ha establecido que existe un vínculo necesario entre la libertad en los procesos de acopio informático del dato personal y la expresión del consentimiento del titular. En cada una de estas decisiones se ha planteado que el contenido concreto de la libertad del sujeto concernido y, simultáneamente, el límite que impide el abuso del poder informático descansa en la exigencia de la autorización del titular como presupuesto del ejercicio de las competencias constitucionales de conocimiento, actualización y rectificación del dato personal”.

Entonces, es claro que de conformidad con los principios que regulan la administración de datos personales, el ejercicio del derecho fundamental de habeas data permite a los titulares solicitar la supresión de información que haya sido recogida en bases de datos, de suerte que la Corte consideró que la interpretación adecuada del señalado literal e) es aquella en virtud de la cual el titular podrá revocar la autorización y solicitar la supresión del dato cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales, caso en el cual, en aras de garantizar el debido proceso, la Superintendencia de Industria y Comercio deberá determinar que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias al ordenamiento y (ii) en virtud de la solicitud libre y voluntaria del Titular del dato, cuando no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la referida base de datos, consideración que fue recogida por el inciso segundo del artículo 2.2.2.25.2.6 del Decreto 1074 de 2015.

Ahora bien, en el caso bajo examen, se observa que el reclamante indica lo siguiente: “(…) Ante el envío diario de publicidad (no solicitada) por parte de Efecty a mi celular, se hizo petición a efecty de suspensión de toda la información de marketing y publicidad a mi número, así como de cualquier otra índole. No obstante, los mensajes publicitarios siguieron y finalmente me dieron respuesta informándome que no pueden procesar mi solicitud debido a varias limitaciones legales.

Entiendo que hay información que no puede ser eliminada, pero basarse en esa condición para mantener el envió de publicidad no deseada es abusivo y desesperante. (…).” Al respecto, el día 06 de agosto de 2020 este Despacho requirió a la sociedad EFECTIVO LTDA, para que se pronunciara sobre los hechos materia de la denuncia y allegara entre otras cosas, prueba de la eliminación, actualización o corrección de la información del titular.

Por su parte, la sociedad investigada en su respuesta de explicaciones de fecha 25 de agosto de 2020, manifestó que: “(…)Una vez recibido el requerimiento objeto de esta respuesta, se procedió a dar por revocado la autorización para el tratamiento de datos personales que se conservaba del denunciante, y en consecuencia, a eliminar de la base de datos, para efectos de envío de mensajes y otras finalidades diferentes a la prestación de los servicios postales de pago, la información personal del señor xxxxxxx Xxxxxxxx, ya que, en lo que hace a la información sobre giros nacionales, tal información cuenta con deber legal de conservación. (…).” Sin embargo, la sociedad investigada no allegó a la actuación documento mediante el cual acredite que eliminó la información personal del señor Xxxxx Xxxxxxx Xxxxxxxx Xxxxxxxxx de las bases de datos que tiene como finalidad el envío de información comercial, publicidad y prospección comercial.

En tal sentido, al no obrar dentro del expediente ningún elemento de prueba mediante el cual se demuestre que la sociedad EFECTIVO LTDA., cumplió con el deber de garantizar el derecho que le asiste al titular de solicitar la supresión de su información personal, este Despacho considera que posiblemente dicha sociedad continúa realizando tratamiento de sus datos personales sin el lleno de los requisitos impuestos por la Ley 1581 de 2012.

Así las cosas, esta Dirección encuentra que es procedente ordenar en el término establecido en la parte resolutiva de este acto administrativo a la sociedad EFECTIVO LTDA., proceda con la eliminación de la línea celular del señor Xxxxx Xxxxxxx Xxxxxxx Xxxxxxx de sus bases de datos que tengan como finalidad el envío de información HOJA N, “Por la cual se impone una sanción administrativa” comercial, publicidad y prospección comercial, allegando para el efecto un certificado expedido por el Jefe del Área Técnica y/o Área de Auditoría de la Organización que acredite la supresión de la información del reclamante.

Por último, frente a la solicitud del titular respecto de iniciar una investigación y posible sanción a la sociedad EFECTIVO LTDA., este Despacho ordenará remitir copia de la presente resolución al Grupo de Trabajo de Investigaciones Administrativas de esta Dirección para que determine si existe mérito para iniciar una investigación administrativa de carácter sancionatorio, dirigida a establecer el posible incumplimiento de los deberes y principios regulados por la Ley 1581 de 2012.”

SEGUNDO: Que, con base en los hechos anotados y de acuerdo con las pruebas trasladadas de la actuación del Grupo de Trabajo de Hábeas Data, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales el 27 de julio de 2021 se inició la presente investigación administrativa mediante la expedición de la Resolución N°. 46690 del 2021 por medio de la cual se formularon cargos a la sociedad EFECTIVO LTDA., por la presunta infracción a lo dispuesto en: i) El literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma y el artículo 2.2.2.25.4.3 del Decreto 1074 de 2015; y ii) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también los artículos 2.2.2.25.2.2. y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

La mencionada resolución le fue notificada a la sociedad investigada mediante aviso N°. 2632 del 14 de marzo de 2022, de conformidad con la certificación del 15 de marzo de 2022 expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 21-277656-14, para que se pronunciara sobre los hechos materia de investigación y aportara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. Igualmente, se comunicó de dicha actuación al denunciante.

TERCERO: Que la sociedad EFECTIVO LTDA. aportó escrito de descargos con radicado 21277656-16 del 5 de abril de 2022, argumentando, entre otras cosas, lo siguiente: 3.1 En primer lugar, realiza una síntesis de los antecedentes del caso objeto de estudio. 3.2 A continuación, señala que en el presente caso no se configura infracción alguna al Régimen de Protección de Datos Personales, en virtud de las excepciones legales previstas en: i) el artículo 10 del Decreto 1073 de 2013 y ii) el artículo 11 de la Resolución 3038 de 2011.

Aunado a lo anterior, sostiene que “(…) como se deriva de los elementos probatorios que obran en el expediente, específicamente la respuesta a la solicitud inicial del señor Xxxxx Xxxxxxx, emitida por Efecty el día 14 de julio de 2020, la sociedad investigada en ningún momento negó de forma absoluta la eliminación de los datos personales, pues solo requirió acreditar su identidad personal, a través del documento idóneo para el efecto”. 3.3 Finaliza su escrito, con la siguiente solicitud: “En razón de lo expuesto, se solicita archivar la presente investigación, en tanto se encuentra acreditado que Efectivo Ltda., no infringió el régimen de protección de datos personales relacionado con: (i) el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma y el artículo 2.2.2.25.4.3 del Decreto 1074 de 2015; y (ii) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley; y (iii) los artículos 2.2.2.25.2.5 del Decreto 1074 de 2015, por el contrario, su actuar se encontraba enmarcado en una excepción legal y dio cumplimiento estricto a sus obligaciones legales y procedimientos internos.” HOJA N, “Por la cual se impone una sanción administrativa”

CUARTO: Que mediante Resolución N°. 68531 del 3 de octubre de 2022 se incorporaron las pruebas allegadas a la presente actuación administrativa, se cerró la etapa probatoria y se corrió traslado a la sociedad investigada para que presentara alegatos de conclusión. Las pruebas incorporadas son las siguientes: 4.1 Denuncia junto con anexos presentada por el señor XXXXX XXXXXXXXX XXXXXXXX XXXXXXXX con número de cédula XXXXXXXXX, radicada el 14 de julio de 2020 la cual se encuentra incorporada al expediente digital radicado 20-232416-0. 4.2 Oficio con radicado número 20-232416-3 del 06 de agosto de 2020, mediante el cual se requirió información a la sociedad EFECTIVO LTDA. 4.3 Comunicación con radicado número 20-232416-4 del 25 de agosto de 2020, a través del cual sociedad EFECTIVO LTDA., dio respuesta al requerimiento mencionado en el numeral anterior. 4.4 Resolución número 71752 del 10 de noviembre de 2020, a través de la cual se le ordenó a la sociedad EFECTIVO LTDA., que “dentro del término de cinco (5) días hábiles siguientes a la ejecutoria de la presente decisión, elimine el número celular del señor XXXXX XXXXXXXXX XXXXXXXX XXXXXXXX, identificado con C.C. XXXXXXXXX, contenido en sus bancos de información que tengan como finalidad el envío de información comercial, publicidad y prospección comercial.” 4.5 Comunicación con radicado con número 21-277656-16 del 06 de abril de 2022, a través del cual el apoderado judicial de la sociedad EFECTIVO LTDA., presento escrito de Descargos.

La mencionada resolución le fue comunicada a la sociedad investigada el 4 de octubre de 2022, de conformidad con la certificación del 18 de octubre de 2022 expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 21-277656-20.

QUINTO: Que la sociedad EFECTIVO LTDA. presentó escrito de alegatos de conclusión con radicado número 21-277656-21 del 19 de octubre de 2022, en el cual reitera lo dicho en el escrito de descargos. Así mismo, dentro de su escrito, la sociedad investigada aporta nuevos soportes probatorios relacionados con una publicación realizada en el periódico El Espectador el día 26 de julio de 2013.

SEXTO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

SÉPTIMO: Análisis del caso 7.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20111, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: HOJA N, “Por la cual se impone una sanción administrativa” (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares.

El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas, específicamente, en el artículo 23 de la Ley 1581 de 2012. (ii) De conformidad con los hechos alegados por la reclamante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo dispuesto en: - El literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma y el artículo 2.2.2.25.4.3 del Decreto 1074 de 2015; y - El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también los artículos 2.2.2.25.2.2. y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la sociedad investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, los argumentos expuestos por la sociedad investida, así como el conjunto de pruebas allegadas al expediente. 7.2 Valoración probatoria y conclusiones 7.2.1 Del deber de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data El precepto consagrado en el literal a) del artículo 17 de la Ley 1581 de 2012 hace referencia al deber de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.

A su turno, el literal e) del artículo 8 del cuerpo normativo en cita, señala lo siguiente: “Artículo 8. Derechos de los Titulares. El Titular de los datos personales tendrá los siguientes derechos: (…) e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.

La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución; (…)”. En relación a los artículos en cita, la Corte Constitucional, mediante sentencia C-748 de 2011, realizó las siguientes precisiones: “En ese sentido, se debe entender que cuando los literales a) de los artículos 17 y 18 imponen como deberes tanto del responsable como del encargado del tratamiento, garantizar al titular, en todo tiempo, el pleno y efectivo derecho de habeas data, ello incluye que se cumplan los principios para la administración de datos y los derechos de los titulares.” “Examen del ordinal e) Esta disposición establece en Colombia el llamado derecho a la oposición. La norma señala que el Titular del dato podrá revocar la autorización y/o solicitar la supresión del dato cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales y (ii) siempre y cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución. HOJA N, “Por la cual se impone una sanción administrativa” (…) Entonces, el interesado o individuo titular del dato, bajo el estándar Europeo, tiene derecho a oponerse a su utilización: (i) por razones personales, si no existe ninguna obligación legal que le imponga la permanencia del dato, (ii) en cualquier momento cuando el dato ha sido tratado sin su consentimiento;

(iii) el tratamiento es utilizado para fines distintos a los establecidos inicialmente y, (iv) cuando es tratado con fines de prospección de mercadeo por parte de terceras personas. Es decir, cuando se utiliza para fines publicitarios, y el Titular del dato ya no desea recibir más información sobre el producto.” (Subraya fuera del texto original) Posteriormente, en el ejercicio de la potestad reglamentaria constitucionalmente atribuida, el Gobierno Nacional, por medio del Decreto Único Reglamentario 1074 de 2015 señaló, que: “Artículo 2.2.2.25.4.3 Del derecho de actualización, rectificación y supresión. En desarrollo del principio de veracidad o calidad, en el tratamiento de los datos personales deberán adoptarse las medidas razonables para asegurar que los datos personales que reposan en las bases de datos sean precisos y suficientes y, cuando así lo solicite el Titular o cuando el Responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos, de tal manera que satisfagan los propósitos del tratamiento (…).” (Negrilla y subraya fuera del texto original).

Frente a este deber, este Despacho evidenció, por medio de la Resolución N°. 46690 del 27 de julio de 2021, que: En el caso analizado, se tiene que el señor XXXXX XXXXXXXXX XXXXXXXX XXXXXXXX, mediante comunicación con radicado No. 20-232416-0 del 14 de julio de 2020 manifestó entre otras cosas que, mediante derecho de petición enviado a LA INVESTIGADA, le solicitó eliminar sus datos de las bases de datos de la Sociedad, con el fin de que suspendieran el envío de información comercial, publicidad y prospección comercial a su número celular.

Con el fin de aclarar las circunstancias de modo tiempo y lugar de los hechos puestos en conocimiento, el Grupo de Trabajo de Investigaciones Administrativas mediante oficio contenido dentro del radicado No. 20-232416-3 del 6 de agosto de 2020, requirió a LA INVESTIGADA, con el fin de que, entre otras cosas “(…) 4.[Informara] si el Titular ha presentado una reclamación o petición ante ustedes, en caso de ser afirmativa su respuesta favor aportar copia de la(s) misma(s) con su respectiva respuesta (…) 6.

En caso de ser procedente, acreditar prueba mediante la cual se demuestre que se eliminó, actualizó o corrigió la información del Titular (…)”. Frente a este requerimiento, LA INVESTIGADA mediante Comunicación contenida dentro del radicado No. 20-232416-4 del 26 de agosto de 2020, manifestó, entre otras cosas que: “(…) 4. De acuerdo a los términos de la solicitud anterior, adjuntamos copia de las PQRS interpuestas por el Titular relacionadas con tratamiento de datos personales y sus respectivas respuestas con sus acuses de recibido (correo electrónico certificado).

(…) 6. Una vez recibido el requerimiento objeto de esta respuesta, se procedió a dar por revocado la autorización para el tratamiento de datos personales que se conservaba del denunciante, y en consecuencia, a eliminar de las bases de datos, para efectos de envíos de mensajes y otras finalidades diferentes a la prestación de los servicios postales de pago, la información personal del señor Xxxxxxxx, ya que, en lo que hace a la información sobre giros nacionales, tal información cuenta con deber legal de conservación. (…)”.

Adicionalmente, LA INVESTIGADA aportó copia de la petición presentada por el Titular con fecha del 21 de junio de 2020, solicitando la supresión de su información de sus bases de datos utilizado para suministrar información comercial, publicidad y prospección comercial. Sin embargo, y a pesar de la solicitud elevada por el señor XXXXX XXXXXXXXX XXXXXXXX XXXXXXXX no obra prueba dentro del expediente, que demuestre que efectivamente la sociedad EFECTIVO LTDA. accedió a dicha petición en la fecha solicitada por el Titular.

HOJA N, “Por la cual se impone una sanción administrativa” Ahora bien, es necesario aclarar que aun cuando la solicitud de eliminación del dato fue remitida en el mes de junio de 2020, LA INVESTIGADA realizó la supresión del dato únicamente en cumplimiento de la Resolución 71752 de 2020, con fecha del 10 de noviembre de 2020, por medio de la cual el Director de Investigación de Protección de Datos Personales impartió dicha orden.

En este sentido, se tiene que dicho deber únicamente se cumplió en razón a la orden administrativa impartida por este Despacho y no en cumplimiento del derecho que le asistía al Titular frente al tratamiento de sus datos personales. En consecuencia, este despacho evidencia, preliminarmente que LA INVESTIGADA no atendió la solicitud de supresión del dato presentada por el Titular XXXXX XXXXXXXXX XXXXXXXX XXXXXXXX.

Esta conducta se subsume típicamente en un presunto incumplimiento por parte de la sociedad EFECTIVO LTDA. al deber de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data; contemplado en literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma y el artículo 2.2.2.25.4.3 del Decreto 1074 de 2015.” Frente al cargo primero, la sociedad investigada señala que “(…) como se deriva de los elementos probatorios que obran en el expediente, específicamente la respuesta a la solicitud inicial del señor Xxxxx Xxxxxxxx, emitida por Efecty el día 14 de julio de 2020, la sociedad investigada en ningún momento negó de forma absoluta la eliminación de los datos personales, pues solo requirió acreditar su identidad personal, a través del documento idóneo para el efecto”.1 En relación con el acervo probatorio, este Despacho encuentra que: La presente investigación administrativa tuvo su génesis en la denuncia presentada por el señor XXXXX XXXXXXXXX XXXXXXXX XXXXXXXX ante esta Superintendencia el 14 de julio de 20202, en la cual manifestó que: “Ante el envío diario de publicidad (no solicitada) por parte de Efecty a mi celular, se hizo petición a efecty de suspensión de toda la información de marketing y publicidad a mi numero (sic) así como de cualquier otra índole.

No obstante los mensajes publicitarios siguieron y finalmente me dieron respuesta informándome (sic) que no pueden procesar mi solicitud debido a varias limitaciones legales. Entiendo que hay información que no puede ser eliminada pero basarse en esa condición para mantener el envio (sic) de publicidad no deseada es abusivo y desesperante.” Junto con su escrito de denuncia, el Titular de la información allegó copia de la respuesta otorgada el día 14 de julio de 2020 por parte de la sociedad investigada, con número de radicación XXX XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX.

En aras de velar por la trazabilidad de la información, a continuación, se muestra la transcripción del contenido de la comunicación en cita: “Apreciado Usuario; En atención a la petición presentada y dando cumplimiento al trámite establecido por la Resolución 5050 de 2016 expedida por la Comisión de Regulación de Comunicaciones, en concordancia con el Artículo 79 de la Ley 1480 de 2011 y la Ley 1369 de 2009;

Efectivo Ltda. da respuesta a su solicitud, teniendo en cuenta los siguientes:

HECHOS 1. El señor XXXXX XXXXXXXXX XXXXXXXX XXXXXXXX, identificado con la cédula de ciudadanía número XXXXXXXXX, radicó una petición en nuestra área de Experiencia de Cliente, en la que solicita la eliminación de todos sus datos personales del sistema de Efectivo Ltda. (Efecty). En atención a su comunicación radicada en el área de Experiencia de Cliente y surtiendo el trámite que le corresponde a la misma, Efectivo Ltda. llevó a cabo el proceso de investigación y verificación de la información suministrada, para lo cual es importante tener en cuenta las siguientes consideraciones: Radicado 21-277656-16 del 6 de agosto de 2021, página 10 Radicado 20-232416-0 HOJA N, “Por la cual se impone una sanción administrativa” 1.

Efectivo Ltda., como operador de giro postal autorizado por el Ministerio de Tecnología de la Información y las Telecomunicaciones, está obligada a garantiza (sic) la confidencialidad de la información que reposa en nuestro sistema, como resultado de las diferentes Operaciones de Giro Postal que generan los diferentes usuarios. Lo anterior tiene sustento jurídico en la Ley 1369 de 2009 – Artículo 51 -Base de Datos-, que establece: “La información de Base de Datos que se producen por la utilización del servicio solicitado por los usuarios a los operadores postales, será de manejo confidencial por parte de éstos y solamente podrá ser requerida por autoridad judicial”. 2.

De igual manea el Artículo 2.2.3.1. de la Resolución 5050 de 2016, dispone: Seguridad de la Red Postal e Inviolabilidad de los Envíos: “Los operadores postales deben garantizar la seguridad de la red postal con el fin de asegurar la inviolabilidad de los envíos postales de los usuarios, la información que curse a través de ella y los datos personales de los usuarios”, en concordancia con el Artículo 2.2.3.3. de la misma resolución – Seguridad de los Datos e Información – “Los operadores de servicios postales, adoptarán mecanismos que garanticen el manejo confidencial, la integralidad y disponibilidad de los datos de sus usuarios, los cuales sólo podrán ser requeridos por autoridad judicial, tal y como lo prevé el Artículo 51 de la Ley 1369 de 2009.

“Los datos personales de los usuarios, suministrados a los operadores postales para ser consignados en bases de datos, estarán protegidos de conformidad con lo dispuesto en la Ley 1266 de 2008 y las normas que la modifiquen o sustituyan”. 3. Teniendo en cuenta lo anterior, al hacer la validación de su solicitud, no se evidencia su documento de identificación (cédula de ciudadanía), que nos permita validar su identidad para poder realizar la eliminación de los datos solicitados. 4.

En consecuencia, me permito informarle que no es posible dar trámite a su petición, pues legalmente estamos obligados a garantizar la confidencialidad de la información que reposa en la base de datos, no obstante lo anterior, la invitamos a que radique de nuevo su solicitud a través de los diferentes canales establecidos para la atención de nuestros usuarios, como los son: Call Center (1) 6510101, Correo electrónico: servicioalcliente@efecty.com.co, página web www.efecty.com.co, y adjunte el documento correspondiente legible por ambas caras.

De esta manera esperamos atender oportunamente su petición, no sin antes recordarle que en caso de presentar alguna inconformidad con la gestión y respuesta dada a su petición, puede radicar un nuevo caso a través de la siguiente cuenta de correo electrónico: servicioalcliente@efecty.com.co. Para consultar el estado de su requerimiento incluida la carta de respuesta, puede hacerlo ingresando a la página web de la compañía www.efecty.com.co - Clic en el módulo de Servicio al cliente - Clic en Consultar el estado de una PQR.

Para realizar la consulta es importante que tenga a la mano el número de radicado que se informó en el momento de presentar la solicitud o Número de CUN enviado por medio del correo electrónico de confirmación. Digita la información en los campos habilitados y da clic en consultar. (…)”. A partir de los hechos advertidos por la denunciante y con el propósito de reunir elementos de juicio suficientes, esta Dirección, a través del Grupo de Trabajo de Habeas Data, requirió a la sociedad EFECTIVO LTDA., mediante oficio radicado el 6 de agosto de 2020 bajo el número 20-232416-3, para que informara, entre otras cosas, lo siguiente: “(…) Informar si el Titular ha presentado una reclamación o petición ante ustedes, en caso de ser afirmativa su respuesta favor aportar copia de la(s) misma(s) con su respectiva respuesta.

(…) En caso de ser procedente, acreditar prueba mediante la cual se demuestre que se eliminó, actualizó o corrigió la información del Titular. (…)”. HOJA N, “Por la cual se impone una sanción administrativa” En respuesta al requerimiento en cita, la sociedad investigada radicó oficio, junto con anexos, el 25 de agosto de 2020 bajo el número 20-232416-4, en el que informó, entre otras cosas, lo siguiente: “De acuerdo a los términos de la solicitud anterior, adjuntamos copias de las PQRS interpuesta (sic) por el Titular relacionadas con tratamiento de datos personas (sic) y su (sic) respectivas respuestas con sus acuses de recibido (correo electrónico certificado).

(…) Una vez recibido el requerimiento objeto de esta respuesta, se procedió a dar por revocado (sic) la autorización para el tratamiento de datos personales que se conservaba del denunciante, y en consecuencia, a eliminar de la base de datos, para efectos de envío de mensajes y otras finalidades diferentes a la prestación de los servicios postales de pago, la información personal del señor Xxxxxxxx Xxxxxxxx, ya que, en lo que hace a la información sobre giros nacionales, tal información cuenta con deber legal de conservación. En la captura de pantalla, Campo CLIREGTratamientoDatos = 0 (recuadro rojo), se evidencia lo antes señalado: (…)”.

Ahora bien, al realizar la revisión de los soportes documentales aportados por la sociedad investigada junto con su respuesta el 6 de agosto de 2020 con número de radicado 20-232416-3; encuentra este Despacho que, tanto la reclamación como la respuesta son las mismas referidas y aportadas por el Titular, junto con su escrito de denuncia radicado el 14 de julio de 2020 bajo el número 20-232416-0.

En este sentido y frente al contenido de la respuesta otorgada por la sociedad investigada el 14 de julio de 2020, con número de radicación XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX, resulta necesario realizar las siguientes precisiones: - El señor XXXXX XXXXXXXXX XXXXXXXX XXXXXXXX presentó una reclamación ante la sociedad EFECTIVO LTDA. el 21 de junio de 2020, la cual contiene la siguiente información: (i) nombres y apellidos del Titular, (ii) identificación del Titular, (iii) descripción de los hechos que dan lugar al reclamo y (iv) la dirección electrónica del Titular de los datos. - En la respuesta otorgada por la sociedad investigada, se señala, entre otras cosas, que: “(…) no es posible dar trámite a su petición, pues legalmente estamos obligados a garantizar la confidencialidad de la información que reposa en la base de datos, no obstante lo anterior, la invitamos a que radique de nuevo su solicitud a través de los diferentes canales establecidos para la atención de nuestros usuarios, como los son: Call Center (1) 6510101, Correo electrónico: servicioalcliente@efecty.com.co, página web www.efecty.com.co, y adjunte el documento correspondiente legible por ambas caras.” Solicitud frente a la cual, en principio, este Despacho no tiene reparo, salvo porque, de conformidad con las reglas previstas por la Ley Estatutaria 1581 de 2012 3, la sociedad ARTÍCULO 15.

RECLAMOS. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas: 1.

El reclamo se formulará mediante solicitud dirigida al Responsable del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el rec lamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas.

Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. HOJA N, “Por la cual se impone una sanción administrativa” EFECTIVO LTDA., en su calidad de Responsable del Tratamiento, debió requerir al interesado dentro de los cinco (5) días siguientes a la recepción de la solicitud de supresión de datos personales, para que remitiera la copia de su documento de identidad legible por ambas caras.

No obstante lo anterior, advierte esta Dirección que la sociedad EFECTIVO LTDA. limitó su actuar a incluir una anotación referente a que el Titular adjuntara copia de su documento de identidad en la respuesta otorgada el 14 de julio de 2020 y procedió con el cierre del caso de la referencia XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX. Situación que a todas luces resulta contraria al ejercicio del derecho de habeas data del señor XXXXX XXXXXXXXX XXXXXXXX XXXXXXXX. - En efecto, tal y como lo sostiene la sociedad investigada, por mandato del artículo 11 de la Resolución 3038 del 4 de abril de 2011 proferida por la Comisión de Regulación de Comunicaciones, debe adoptar mecanismos que garanticen el manejo, confidencialidad, integridad y disponibilidad de los datos de los usuarios.4 Sin embargo, no puede perderse de vista que, esa misma disposición señala que “[L]os datos suministrados por los usuarios para efectos de la adquisición de servicios o la atención de PQR y/o solicitudes de indemnización no pueden ser usados por los operadores de servicios postales para la elaboración de bases de datos con fines comerciales o publicitarios, distintos a los directamente relacionados con los servicios ofrecidos por el operador, salvo que medie autorización expresa y escrita del usuario 5.

Por lo expuesto, esta instancia se permite recordarle a la sociedad EFECTIVO LTDA. que no puede equipararse el conjunto organizado de datos personales en el marco de la prestación de los servicios a cargo de los operadores postales de pago, la atención de quejas y reclamos o la solicitud de indemnizaciones, con aquella base de datos con fines comerciales o publicitarios.

Aunado a lo anterior, llama la atención del Despacho que, en contravía de los argumentos esgrimidos por en la respuesta otorgada al Titular el 14 de julio de 2020; la sociedad investigada le haya manifestado al Despacho en su oficio del 25 de agosto de 2020, radicado bajo el número 20232416-4, que: “Una vez recibido el requerimiento objeto de esta respuesta, se procedió a dar por revocado (sic) la autorización para el tratamiento de datos personales que se conservaba del denunciante, y en consecuencia, a eliminar de la base de datos, para efectos de envío de mensajes y otras finalidades diferentes a la prestación de los servicios postales de pago, la información personal del señor Xxxxxxxx Xxxxxxxx, ya que, en lo que hace a la información sobre giros nacionales, tal información cuenta con deber legal de conservación. En la captura de pantalla, Campo CLIREGTratamientoDatos = 0 (recuadro rojo), se evidencia lo antes señalado: En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado. 2.

Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga “reclamo en trámite” y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido. 3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.

Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en q ue se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del pr imer término.

ARTÍCULO

11. SEGURIDAD DE LOS DATOS E INFORMACIONES. <Artículo compilado en el artículo 2.2.3.3 de la Resolución CRC 5050 de 2016. Debe tenerse en cuenta lo dispuesto por el artículo 2.2.13.3.5 del Decreto 1078 de 2015> Los operadores de servicios postales, adoptarán mecanismos que garanticen el manejo confidencial, la integridad y disponibilidad de los datos de sus usuarios, los cuales sól o podrán ser requeridos por autoridad judicial, tal y como lo prevé el artículo 51 de la Ley 1369 de 2009.

Los datos suministrados por los usuarios para efectos de la adquisición de servicios o la atención de PQR y/o solicitudes de indemnización no pueden ser usados por los operadores de servicios postales para la elaboración de bases de datos con fines comerciales o publicitarios, distintos a los directamente relacionados con los servicios ofrecidos por el operador, salvo que medie autorización expresa y escrita del usuario.

Los datos personales de los usuarios, suministrados a los operadores postales para ser consignados en bases de datos, estarán protegidos de conformidad con lo dispuesto en la Ley 1266 de 2008 y las normas que la modifiquen o sustituyan. (Destacado fuera del texto original) Ibidem HOJA N, “Por la cual se impone una sanción administrativa” (…)”.

Contradicción que no solo avizora un error en la argumentación esgrimida por la sociedad investigada, sino que encarna una fractura al derecho de habeas data del señor XXXXX XXXXXXXXX XXXXXXXX XXXXXXXX. En consecuencia, de la ausencia de un soporte técnico que acreditara que la sociedad EFECTIVO LTDA. había procedido con la efectiva eliminación de la información del Titular de la base de datos de la compañía con fines comerciales o publicitarios, este Despacho, mediante Resolución N°. 71752 del 10 de noviembre de 20206, impartió la siguiente orden administrativa: “ARTÍCULO PRIMERO: Ordenar a la sociedad EFECTIVO LTDA con el Nit.

No. 830.131.993-1 para que dentro de cinco (5) días hábiles siguientes a la ejecutoria de la presente decisión, elimine el número celular del señor XXXXX XXXXXXXXX XXXXXXXX XXXXXXXX, identificado con C.C. XXXXXXXXX, contenido en sus bancos de información que tengan como finalidad en envío de información comercial, publicidad y prospección comercial.

PARÁGRAFO PRIMERO: La sociedad EFECTIVO LTDA deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento mediante un Certificado expedido por el Jefe del Área Técnica y/o Área de Auditoría de la Organización el cual deberá ser remitido por el representante legal de la sociedad.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad EFECTIVO LTDA, acreedora de las sanciones previstas en la Ley.” En cumplimiento de lo ordenado mediante Resolución N°. 71752 del 10 de noviembre de 2020, la sociedad EFECTIVO LTDA., junto con oficio radicado el 25 de noviembre de 2020 bajo el número 20-232416-10, allegó una certificación, en los siguientes términos: “xxxxxx xxxx xxxxxxxx xxxxxxxxx, identificado con cédula de ciudadanía No. xx.xxx.xxx, en calidad de Facilitador Mr.

MEST (Jefe de Área Técnica) de la sociedad EFECTIVO LTDA., con Nit. 830.131.993-1, en virtud del artículo primero de la Resolución 71572 de 2020 de fecha 10 de noviembre de 2020, expedida por la Dirección de Investigación de Protección de Datos Personales de la Superintendencia de Industria y Comercio, certifico que el número celular del señor Xxxxx Xxxxxxxxx Xxxxxxxx Xxxxxxxx, con cédula de ciudadanía No. XXXXXXXXX, ha sido eliminado de la base de datos (bancos de información) de la citada compañía.” Analizadas las piezas probatorias obrantes en el expediente de la referencia y los argumentos de hecho y de derecho expuestos por la sociedad investigada, encuentra este Despacho que la sociedad investigada solo procedió con la solicitud de supresión del número telefónico del señor XXXXX XXXXXXXXX XXXXXXXX XXXXXXXX de las bases de datos con fines comerciales o publicitarios, en virtud de la orden impartida por esta Superintendencia mediante Resolución N°. 71752 del 10 de noviembre de 2020 y no como resultado del proceso de solicitud de supresión de datos personales adelantado por el Titular ante la compañía. Con esta conducta, la sociedad EFECTIVO LTDA. transgredió de manera negligente el deber de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.

Radicado 20-232416-5 HOJA N, “Por la cual se impone una sanción administrativa” En virtud de lo expuesto, esta Dirección impondrá una sanción pecuniaria por la transgresión al deber dispuesto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma y el artículo 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015. 7.2.2 Del deber de solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular Conforme al principio de libertad consagrado en la Ley 1581 de 2012, según el cual “[e]l Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización” 7. es claro que el Tratamiento de los Datos solo puede ser el autorizado por el Titular de estos para la finalidad especificada. Este principio es desarrollado por los artículos 9 y 17, literal b) de la norma ut supra; los cuales detallan que “en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior” y que el Responsable del Tratamiento de los Datos debe cumplir con varios deberes, entre ellos, el de "Solicitar y conservar, en las condiciones previstas en la presente ley., copia de la respectiva autorización otorgada por el Titular".

Además de lo anterior, el Decreto Único Reglamentario 1074 del 2015 8 señala en su artículo 2.2.2.25.2.2. que: “El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento”.

Así mismo, el artículo 2.2.2.25.2.5. este decreto señala que: “Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos.” De este modo, es claro que el Responsable del Tratamiento debe adoptar los procedimientos adecuados para solicitar y conservar copia de la autorización otorgada por el Titular e informar los datos que serán recolectados junto con las finalidades específicas para las cuales se va a obtener el consentimiento del Titular.

De igual manera, en la Ley 1581 de 2012 el consentimiento es tanto un principio rector (artículo 4 (literal c) como un elemento de legitimación constitucional de los procesos de administración de datos personales (artículos 9, 10, y artículo 26, literal a). El artículo 9 establece que en el tratamiento se requiere la autorización previa, expresa, e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior, mientras que el artículo 10 prevé las excepciones o los otros fundamentos de legitimación constitucional del tratamiento de datos personales, incluidos los casos de urgencia manifiesta, tratamiento de información autorizado por la ley para fines históricos, estadísticos o científico, etc.

Por su parte, el literal a) del artículo 3 de la Ley 1581 de 2012 establece que el consentimiento o autorización exigida para el tratamiento de datos personales es, además, calificado, por cuanto debe ser previo, expreso e informado. En este sentido, la Corte Constitucional interpretó esta definición en sentencia C-748 del 2011 de la siguiente manera: “En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato.

Así por ejemplo, en la Sentencia T-022 de 1993, se dijo que la veracidad del dato no implica que el Responsable del Tratamiento no tenga el deber de obtener una autorización anterior. En igual sentido, la Sentencia T-592 de 2003 dijo que el derecho al habeas data resulta afectado cuando los administradores de la información recogen y divulgan hábitos de pago sin el consentimiento de su titular.

La Corte expresó Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). Decreto Único Reglamentario del Sector Comercio, Industria y Turismo. HOJA N, “Por la cual se impone una sanción administrativa” que el consentimiento previo del titular de la información sobre el registro de sus datos económicos “en los procesos informáticos, aunado a la necesidad de que aquel cuente con oportunidades reales para ejercer sus facultades de rectificación y actualización durante las diversas etapas de dicho proceso, resultan esenciales para salvaguardar su derecho a la autodeterminación informática.” En relación con el carácter expreso, la autorización debe ser inequívoca, razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito.

Lo anterior, por varias razones: En primer lugar, la jurisprudencia constitucional ha exigido tal condición y ha dicho que el consentimiento debe ser explícito y concreto a la finalidad específica de la base de datos. (…) En segundo lugar, de una interpretación armónica de todo el articulado se deduce que el legislador estatutario tuvo una intención inequívoca que el consentimiento siempre fuese expreso.

Así, desde el artículo 3 se dice que éste debe ser “previo, expreso e informado”. Esto mismo se repite en el artículo 4. Posteriormente, el artículo 8 ordinal b), garantiza al Titular el derecho de solicitar prueba de la autorización, y señala que ésta sólo puede considerarse exceptuada en los casos consagrados en el artículo 10. El artículo 9 ordena que la autorización sea “obtenida por cualquier medio que pueda ser objeto de consulta posterior” Por otro lado, el artículo 10 señala, en forma taxativa, los casos en que no se requiere autorización, y no hace referencia alguna a la existencia de un consentimiento tácito, lo cual necesitaría expresa autorización legal.

(…) En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. En este mismo sentido, en la Sentencia T-592 de 2003, la Corte señaló que la autorización debe ser cualificada y debía contener una explicación de los efectos de la misma.

Además, a pesar de que se presente la autorización, el Responsable y Encargado del Tratamiento debe actuar de buena fe. De todo lo anterior, puede entonces deducirse: (i) los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular. Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales.

Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo implica el consentimiento previo a la recolección del dato, sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez. ( )”9 No existe, por tanto, otra interpretación legal y constitucional diferente a aquella que el consentimiento debe cumplir con los requisitos de ser previo, expreso e informado para que el mismo pueda considerarse legal, pues, de lo contrario, se estaría afectando, como lo señaló la Corte en la sentencia arriba citada, el derecho a la autodeterminación informática entendido como el núcleo esencial del derecho al habeas data y, en la práctica, el Titular perdería el control de sus datos personales.

Las definiciones de expreso, previo e informado contienen elementos claves que se analizan a continuación, con el fin de que se asegure que sólo el consentimiento que se interprete conforme a la Ley 1581 de 2012 será considerado como tal. Elementos del consentimiento: Cfr. Corte Constitucional, sentencia C - 748 del 2011 HOJA N, “Por la cual se impone una sanción administrativa” 1.

Expreso: el término expreso significa la manifestación de voluntad libre del Titular para permitir el tratamiento de sus datos personales por parte de un tercero. Así mismo, esa necesidad de manifestación por parte de la persona impide que la falta de actuación - o quizás mejor, el comportamiento pasivo – constituya un consentimiento válido bajo la Ley 1581 de 2012, pues, como lo señaló la Corte Constitucional en la Sentencia C-748 de 2011, “no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito”.

Así sucede, por ejemplo, con formularios de recolección de datos en línea que no cuentan con casillas de aceptación. Esta situación obliga a los Responsables del Tratamiento a crear procedimientos para garantizar que las personas otorguen su consentimiento y, a su vez, proporcionan pruebas al Responsable del Tratamiento de que se ha obtenido el consentimiento.

Los ejemplos más clásicos son la firma manuscrita en la parte inferior de un formulario de papel y la selección de una casilla en un sitio web en Internet. El requisito de expreso para los datos sensibles se sustituye por un “consentimiento explícito”, pues para este tipo de datos se considera adecuado que exista un elevado nivel de control sobre los datos personales por parte de su Titular. 2.

Informado: el término informado significa que la persona debe conocer las finalidades del tratamiento de sus datos, la persona natural o jurídica, pública o privada, que decidirá sobre el tratamiento de los datos concernidos, los derechos relativos al tratamiento de sus datos, así como del modo de hacer valer sus derechos en relación con el tratamiento y, en general, las condiciones en que se efectuarán las actividades de acopio, recopilación y circulación del mismo. 3.

Previo: el término previo significa que la persona debe otorgar su consentimiento antes del comienzo del tratamiento de su información personal, debiendo cumplirse a más tardar en el momento en que el dato va a ser recogido, sin que sea admisible, en este punto, considerar su acatamiento con posterioridad a su recolección, pues sólo así quedaría garantizado el derecho de la persona a tener una apropiada información antes de otorgar su consentimiento.

En este sentido, el artículo 2.2.2.25.2.2., del Decreto 1074 de 2015 establece lo siguiente: “Artículo 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

(…)”. Visto lo anterior, el consentimiento, como uno de los fundamentos jurídicos del tratamiento de datos personales, para que sea válido bajo la Ley 1581 de 2012, debe cumplir los siguientes requerimientos legales: a) El consentimiento debe ser expreso. El Titular debe realizar alguna acción positiva que indique su consentimiento y debe tener la libertad de no consentir. b) El consentimiento debe estar informado.

El artículo 12 de la Ley 1581 de 2012 enumera la información que debe suministrársele al Titular; esa información debe ser claramente visible, destacada y completa. No basta con ponerla a disposición en algún sitio de la página web, sin que la persona no la conozca. c) El consentimiento debe ser previo. La obtención del consentimiento debe ser previa a la recolección de los datos.

Frente a este deber, este Despacho evidenció, por medio de la Resolución N°. 46690 del 27 de julio de 2021, que: “Dentro del caso en concreto, mediante queja presentada por el señor XXXXX XXXXXXXXX XXXXXXXX XXXXXXXX, a través de radicado No. 20-232416-0 del 14 de julio de 2020, puso en conocimiento de este Despacho, entre otras cosas, que no había otorgado autorización a la sociedad EFECTIVO LTDA. para el envío de información comercial, publicidad y prospección comercial.

HOJA N, “Por la cual se impone una sanción administrativa” En consecuencia, este Despacho mediante oficio contenido en el radicado 20-232416-3 del 6 de agosto de 2020, requirió a LA INVESTIGADA para que entre otras cosas, “1. [Acreditara] prueba de la autorización (previa e informada) otorgada por el Titular de la información para el tratamiento de sus datos personales (…)”.

Frente a dicho requerimiento, mediante comunicación contenida dentro del radicado No. 20-232416-4 del 26 de agosto de 2020, LA INVESTIGADA dio respuesta, manifestando lo siguiente: “(…) 1. Debe informarse que la recolección y tratamiento de datos personales del usuario de giros se encuentra exceptuada de autorización y, en consecuencia, del diligenciamiento de formato alguno, de conformidad con lo señalado en el literal c) del artículo 4º de la Ley 1581 de 2012 (…) De conformidad con lo expuesto, y atendiendo la naturaleza de servicio público esencial que tiene las actividades propias de Efectivo Ltda., esta sociedad tiene un mandato legal de adelantar la obtención de los datos personales de sus usuarios, efecto por el cual no se requiere se encuentra dentro de la excepción legal a que se hizo referencia anteriormente.

Es de tener en cuenta que, las políticas y finalidades del tratamiento de datos personales, son comunicadas a los usuarios, entre ellas a el denunciante, mediante las carteleras ubicadas en cada Punto de Atención al Público (PAP) Efecty y en su sitio de internet www.efecty.com.co. Ahora bien es pertinente mencionar que, en caso de que se utilicen los datos para fin diferente a la prestación del servicio, Efecty Ltda, sí requiere autorización a que se refieren las normas aplicables, la cual se recoge conforme a los procedimientos operativos establecidos para tal fin.

(…)”. Frente a las manifestaciones presentadas por LA INVESTIGADA, es importante aclarar que como lo señala la Sociedad, las empresas de servicios de giros y postales se encuentran exentas de solicitar autorización para el tratamiento de los datos personales de los Titulares en los eventos que constituyan la prestación del servicio postal.

Sin embargo, en aquellos casos en los que la finalidad sea distinta a la prestación de este servicio, esta autorización si debe ser solicitada. Esto se encuentra reconocido por la Sociedad pues, dentro de la respuesta remitida a este Despacho, manifestó que “(…) es pertinente mencionar que, en caso de que se utilicen los datos para fin diferente a la prestación del servicio, Efecty Ltda, sí requiere autorización a que se refieren las normas aplicables, la cual se recoge conforme a los procedimientos operativos establecidos para tal fin (…)”.

En este sentido, teniendo en cuenta lo manifestado por el Titular dentro de su queja inicial, acerca de que no entregó autorización a la sociedad EFECTIVO LTDA. para el envío de información con fines de mercadeo y publicidad, es posible afirmar que, para el envío de información comercial, de mercadeo y de prospección comercial, la sociedad EFECTIVO LTDA. requería autorización por parte del Titular, para el tratamiento de sus datos personales.

En consecuencia y al verificar los documentos aportados por LA INVESTIGADA, este Despacho no encuentra copia de la respectiva autorización otorgada por el señor XXXXX XXXXXXXXX XXXXXXXX XXXXXXXX, por lo que se puede concluir de manera preliminar, que EFECTIVO LTDA. incumplió el deber de solicitar y conservar la autorización del titular para el tratamiento de sus datos personales, de conformidad con lo establecido en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, así como los artículos 2.2.2.25.2.2. y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.” Frente al cargo segundo, la sociedad investigada señala que: En su escrito de descargos, la sociedad investigada señala que el presente caso no se configura infracción alguna al Régimen de Protección de Datos Personales, en virtud de las excepciones legales previstas en: i) el artículo 10 del Decreto 1073 de 2013 y ii) el artículo 11 de la Resolución 3038 de 2011.10 Radicado 21-277656-16 del 6 de agosto de 2021 HOJA N, “Por la cual se impone una sanción administrativa” Aunado a lo anterior, dentro de su escrito de alegatos de conclusión, la sociedad investigada aporta nuevos soportes probatorios relacionados con una publicación realizada en el periódico El Espectador el día 26 de julio de 2013.11 En relación con el acervo probatorio, este Despacho encuentra que: La presente investigación administrativa tuvo su génesis en la denuncia presentada por el señor XXXXX XXXXXXXXX XXXXXXXX XXXXXXXX ante esta Superintendencia el 14 de julio de 202012, en la cual manifestó que: “Ante el envío diario de publicidad (no solicitada) por parte de Efecty a mi celular, se hizo petición a efecty de suspensión de toda la información de marketing y publicidad a mi numero (sic) así como de cualquier otra índole.

No obstante los mensajes publicitarios siguieron y finalmente me dieron respuesta informándome (sic) que no pueden procesar mi solicitud debido a varias limitaciones legales. Entiendo que hay información que no puede ser eliminada pero basarse en esa condición para mantener el envio (sic) de publicidad no deseada es abusivo y desesperante.” A partir de los hechos advertidos por la denunciante y con el propósito de reunir elementos de juicio suficientes, esta Dirección, a través del Grupo de Trabajo de Habeas Data, requirió a la sociedad EFECTIVO LTDA., mediante oficio radicado el 6 de agosto de 2020 bajo el número 20-232416-3, para que informara, entre otras cosas, lo siguiente: “(…) Acreditar prueba de la autorización (previa e informada) otorgada por el Titular de la información para el tratamiento de sus datos personales.

En caso de contar con las respectiva autorización, aportar prueba mediante la cual se informe al Titular de información la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada.” En respuesta al requerimiento en cita, la sociedad investigada radicó oficio, junto con anexos, el 25 de agosto de 2020 bajo el número 20-232416-4, en el que informó, entre otras cosas, lo siguiente: “(…) Debe informarse que la recolección y tratamiento de datos personales del usuario de giros se encuentra exceptuada de autorización y, en consecuencia, del diligenciamiento de formato alguno, de conformidad con lo señalado en el literal c) del artículo 4º de la Ley 1581 de 2012 que prevé: “ARTÍCULO 4º.

PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) c. Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.” (…)”.

(Subrayado fuera del texto) De conformidad con lo expuesto, y atendiendo la naturaleza de servicio público esencial que tiene (sic) las actividades propias de Efectivo Ltda., esta sociedad tiene el mandato legal13 de adelantar la obtención de los datos personales de sus usuarios, efecto por el cual no se requiere se encuentra dentro de la excepción legal a que se hizo referencia anteriormente.

Es de tener en cuenta que, las políticas y finalidades del tratamiento de datos personales, son comunicadas a los usuarios, entre ellas a el denunciante, mediante Radicado 21-277656-21 del 19 de octubre de 2022 Radicado 20-232416-0 Ley 1369 de 2009, Resoluciones 3680 de 2013 y 2564 de 2016 expedidas por el Ministerio de Tecnologías de la Informacion y las Comunicaciones.

HOJA N, “Por la cual se impone una sanción administrativa” las carteleras ubicadas en cada Punto de Atención al Público (PAP) Efecty y en su sitio de internet www.efecty.comc.co (sic). Ahora bien es pertinente mencionar que, en caso que se utilicen los datos para fin diferente a la prestación del servicio, Efectivo Ltda. sí requiere la autorización a que se refieren las normas aplicables, la cual recoge conforme a los procedimientos operativos establecidos para tal fin.

(…) Sujeto a lo indicado en el numeral anterior, debe precisarse que el usuario denunciante se enroló (como internamente de identifica) por primera vez en Efectivo Ltda., el 24 de junio de 2011, a las 12:20 p.m., tal y como se evidencia en la captura de pantalla a continuación: Entiéndase la acción de enrolar como el primer registro de informacion (sic) (nombre, apellido, huella, entre otros) que hace el usuario para que se le puedan prestar los servicios postales de pago a través de Efecty.

A la fecha de esta vinculación esta compañía estaba obligada a informar a través de medios de amplia circulación nacional las finalidades para las que se utilizaba la informacion (sic) personal recopilada antes del 30 de junio del 2013 y, en caso de no recibir respuesta negativa, se permitía conservar la misma. Con la entrada en vigencia del Decreto 1377 de 2013, se implementó la autorización previa, expresa e informada de los usuarios para el tratamiento de datos personales.

Fue hasta el 17 de junio de 2017, cuando obtuvimos del señor Xxxxxxxx Xxxxxxxx la autorización en los términos que se señalan en la parte final del párrafo precedente, toda vez que, fue hasta ese momento en que el usuario hizo uso de los servicios de Efecty a través de nuestro canal virtual, en el cual se pone a disposición de los usuarios la información relacionada con las políticas y fines del tratamiento de datos personales para fines diferentes a la prestación del servicio postal de pago.

Cabe precisar que cuando los usuarios realizan el registro de su información, tienen la posibilidad de revisar y aceptar los términos y condiciones, incluyendo las políticas de tratamiento de datos personales, donde se describen las finalidades para las que solicitamos autorización para el tratamiento de dicha información (sic), tal y como se puede visualizar en la captura de pantalla (ver recuado (sic) rojo), a continuación. HOJA N, “Por la cual se impone una sanción administrativa” Para ampliación de la Política de Tratamiento de Datos Personales, puede consultarse el enlace que se encierra en el señalador de color rojo.” En su escrito de descargos, la sociedad investigada señala que el presente caso no se configura infracción alguna al Régimen de Protección de Datos Personales, en virtud de las excepciones legales previstas en: i) el artículo 10 del Decreto 1073 de 2013 y ii) el artículo 11 de la Resolución 3038 de 2011.14 Aunado a lo anterior, dentro de su escrito de alegatos de conclusión, la sociedad investigada aporta nuevos soportes probatorios relacionados con una publicación realizada en el periódico El Espectador el día 26 de julio de 2013.15 En este punto, entra la Dirección a analizar si la sociedad investigada contaba con la autorización previa, expresa e informada del señor XXXXX XXXXXXXXX XXXXXXXX XXXXXXXX para el tratamiento de sus datos personales, encontrando lo siguiente: - El señor XXXXX XXXXXXXXX XXXXXXXX XXXXXXXX fue enrolado en el sistema de información de la sociedad EFECTIVO LTDA. el 24 de junio de 2011, conforme al soporte documental aportado por la sociedad investigada tanto en el cuerpo de la respuesta de explicaciones del 6 de agosto de 2020 radicada bajo el número 20-232416-3, como junto con su escrito de descargos radicado el 6 de agosto de 2021 bajo el número 21-277656-16. - El Decreto 1377 de 2013 por el cual se reglamenta parcialmente la Ley 1581 de 2012, que entró en vigencia el 27 de junio de 2013 y, posteriormente fue compilado por el Decreto Único Reglamentario 1074 de 2015, dispone lo siguiente en relación con el modo de obtener la autorización por parte de los Titulares de la información: “Artículo 7°.

Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9° de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 20 del presente decreto, que garanticen su consulta.

Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.

(…) Radicado 21-277656-16 del 6 de agosto de 2021 Radicado 21-277656-21 del 19 de octubre de 2022 HOJA N, “Por la cual se impone una sanción administrativa” Artículo 10. Datos recolectados antes de la expedición del presente decreto. Para los datos recolectados antes de la expedición del presente decreto, se tendrá en cuenta lo siguiente: 1.

Los responsables deberán solicitar la autorización de los titulares para continuar con el Tratamiento de sus datos personales del modo previsto en el artículo 7° anterior, a través de mecanismos eficientes de comunicación, así como poner en conocimiento de estos sus políticas de Tratamiento de la información y el modo de ejercer sus derechos. 2.

Para efectos de lo dispuesto en el numeral 1, se considerarán como mecanismos eficientes de comunicación aquellos que el responsable o encargado usan en el curso ordinario de su interacción con los Titulares registrados en sus bases de datos. 3. Si los mecanismos citados en el numeral 1 imponen al responsable una carga desproporcionada o es imposible solicitar a cada Titular el consentimiento para el Tratamiento de sus datos personales y poner en su conocimiento las políticas de Tratamiento de la información y el modo de ejercer sus derechos, el Responsable podrá implementar mecanismos alternos para los efectos dispuestos en el numeral 1, tales como diarios de amplia circulación nacional, diarios locales o revistas, páginas de Internet del responsable, carteles informativos, entre otros, e informar al respecto a la implementación. Con el fin de establecer cuándo existe una carga desproporcionada para el responsable se tendrá en cuenta su capacidad económica, el número de titulares, la antigüedad de los datos, el ámbito territorial y sectorial de operación del responsable y el mecanismo alterno do comunicación a utilizar, de manera que el hecho de solicitar el consentimiento a cada uno de los Titulares implique un costo excesivo y que ello comprometa la estabilidad financiera del responsable, la realización de actividades propias de su negocio o la viabilidad de su presupuesto programado.

A su vez, se considerará que existe una imposibilidad de solicitar a cada titular el consentimiento para el Tratamiento de sus datos personales y poner en su conocimiento las políticas de Tratamiento de la información y el modo de ejercer sus derechos cuando el responsable no cuente con datos de contacto de los titulares, ya sea porque los mismos no obran en sus archivos, registros o bases de datos, o bien, porque estos se encuentran desactualizados, incorrectos, incompletos o inexactos. 4.

Si en el término de treinta (30) días hábiles, contado a partir de la implementación de cualesquiera de los mecanismos de comunicación descritos en los numerales 1, 2 y 3, el Titular no ha contactado al Responsable o Encargado para solicitar la supresión de sus datos personales en los términos del presente decreto, el responsable y encargado podrán continuar realizando el Tratamiento de los datos contenidos en sus bases de datos para la finalidad o finalidades indicadas en la política de Tratamiento de la información, puesta en conocimiento de los titulares mediante tales mecanismos, sin perjuicio de la facultad que tiene el Titular de ejercer en cualquier momento su derecho y pedir la eliminación del dato. 5.

En todo caso el Responsable y el Encargado deben cumplir con todas las disposiciones aplicables de la Ley 1581 de 2012 y el presente decreto. Así mismo, será necesario que la finalidad o finalidades del Tratamiento vigentes sean iguales, análogas o compatibles con aquella o aquellas para las cuales se recabaron los datos personales inicialmente.

Parágrafo. La implementación de los mecanismos alternos de comunicación previstos en esta norma deberá realizarse a más tardar dentro del mes siguiente de la publicación del presente decreto. (Destacado fuera del texto original) - En cumplimiento de las disposiciones en cita, la sociedad EFECTIVO LTDA. solicitó la autorización de todos los Titulares para el tratamiento de sus datos personales, incluido el señor XXXXX XXXXXXXXX XXXXXXXX XXXXXXXX, mediante aviso publicado en uno de los principales diarios nacionales el día 26 de julio de 2013, y cuyas imágenes se presentan a continuación: HOJA N, “Por la cual se impone una sanción administrativa” HOJA N, “Por la cual se impone una sanción administrativa” Dentro de las finalidades del tratamiento del formato de autorización publicado el día 26 de julio de 2013 en el diario El Espectador, conviene destacar la siguiente: “Proveer información en relación con nuestros productos, servicios, ofertas, promociones, alianzas, estudios de mercado, concursos, contenidos, así como de nuestros aliados estratégicos.” Ahora, de la revisión exhaustiva del acervo probatorio, este Despacho no encuentra evidencia de que, con posterioridad al 21 de junio de 2020, la sociedad investigada haya contactado al Titular con el fin de realizar ofrecimiento de productos o servicios.

En virtud de lo expuesto, esta Dirección acepta las pruebas aportadas y por tal razón tiene por demostrado que la sociedad investigada efectivamente recolectó los datos del denunciante antes de la expedición de la norma citada, en la medida en que se logró demostrar la aplicación del mecanismo extraordinario consagrado en el inciso 1° del numeral 3° del artículo 10 del Decreto 1377 de 2013, hoy compilado en el Decreto Único Reglamentario 1074 de 2015.

Por esta razón, este Despacho considera que, si bien no obra en el expediente la copia de la autorización previa, expresa e informada del denunciante, la aplicación del mecanismo extraordinario acreditado por la sociedad investigada para el tratamiento de datos obtenidos antes del 27 de junio del 2013 se considera una base legal suficiente para que la investigada pudiera continuar tratando los datos del denunciante; por lo menos hasta antes del 21 de junio de 2020, fecha en el que el Titular solicitó la revocatoria de la autorización para el tratamiento de sus datos personales.

En consecuencia, se desestimará el presente cargo.

OCTAVO: Imposición y graduación de la sanción 8.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la HOJA N, “Por la cual se impone una sanción administrativa” Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 16.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝐿𝑉 UVT vigente 2023 = Multa en UVT De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional17 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. 17 Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas.

(…) (negrita añadida) HOJA N, “Por la cual se impone una sanción administrativa” también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad” 18 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros19. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”20.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia21. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2322 de la misma ley.

Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: 18 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 19 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 20 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 22Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que s e hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva..” HOJA N, “Por la cual se impone una sanción administrativa” “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 8.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad” 23 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados24.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la 23 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp. Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. 24 Ley 1581 de 2012 “Artículo 23.

La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.0 00) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta u n presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” HOJA N, “Por la cual se impone una sanción administrativa” sanción resulte disuasoria más no confiscatoria.

Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el presente caso, se encuentra suficientemente acreditada la falta de diligencia en el cumplimiento por parte de la investigada del deber de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data, debido a que solo procedió con la solicitud de supresión del número telefónico del señor XXXXX XXXXXXXXX XXXXXXXX XXXXXXXX de las bases de datos con fines comerciales o publicitarios, en virtud de la orden impartida por esta Superintendencia mediante Resolución N°. 71752 del 10 de noviembre de 2020 y no como resultado del proceso de solicitud de supresión de datos personales adelantado por el Titular ante la compañía. Conducta con la que trasgredió el deber dispuesto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma y el artículo 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015.

Por esta razón, se impondrá una sanción pecuniaria de DIEZ MILLONES SEISCIENTOS TRES MIL PESOS M/CTE ($10.603.000) equivalente a DOSCIENTAS CINCUENTA (250) Unidades de Valor Tributario (UVT) vigentes.25 8.2 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581de 2012 no se aplicará, toda vez que la investigada no reconoció de manera expresa la comisión de las infracciones investigadas por esta Superintendencia NOVENO: CONCLUSIONES - Se encuentra suficientemente acreditada la negligencia en el cumplimiento por parte de la investigada al deber de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data, debido a que solo procedió con la solicitud de supresión del número telefónico del señor XXXXX XXXXXXXXX XXXXXXXX XXXXXXXX de las bases de datos con fines comerciales o publicitarios, en virtud de la orden impartida por esta Superintendencia mediante Resolución N°. 71752 del 10 de noviembre de 2020 y no como resultado del proceso de solicitud de supresión de datos personales adelantado por el Titular ante la compañía. - Si bien no obra en el expediente la copia de la autorización previa, expresa e informada del denunciante, la aplicación del mecanismo extraordinario acreditado por la sociedad investigada para el tratamiento de datos obtenidos antes del 27 de junio del 2013 se considera una base legal suficiente para que la investigada pudiera continuar tratando los datos del denunciante; por lo menos hasta antes del 21 de junio de 2020, fecha en el que el Titular solicitó la revocatoria de la autorización para el tratamiento de sus datos personales.

DÉCIMO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad EFECTIVO LTDA., identificada con NIT. 830.131.993-1, con el correo electrónico de notificación judicial notificaciones@efecty.com.co, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el No. 21-277656. Mediante Resolución 1264 de 2022 se fijó en $42.412 pesos el valor de la Unidad de Valor Tributario - UVT, que regirá durante el año 2023.

HOJA N, “Por la cual se impone una sanción administrativa” La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello. Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible.

En mérito de lo expuesto este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad EFECTIVO LTDA., identificada con NIT. 830.131.993-1, de DIEZ MILLONES SEISCIENTOS TRES MIL PESOS M/CTE ($10.603.000) equivalente a DOSCIENTAS CINCUENTA (250) Unidades de Valor Tributario (UVT) vigentes por la vulneración del deber previsto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma y el artículo 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad EFECTIVO LTDA., identificada con NIT. 830.131.993-1, a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO TERCERO: COMUNICAR al señor XXXXX XXXXXXXXX XXXXXXXX XXXXXXXX, identificado con la cédula de ciudadanía número XXXXXXXXX, el contenido de la presente decisión.

ARTÍCULO CUARTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo de la Superintendencia de Industria y Comercio: contactenos@sic.gov.co - Sede Alterna: Carrera 7 No. 31A - 36 Pisos 3 y 3ª en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 24 ABRIL 2023 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUNOZ SALAZAR MUNOZ Fecha: 2023.04.24 11:50:02 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: MRFA Revisó: AMVJ Aprobó: CESM HOJA N, “Por la cual se impone una sanción administrativa” NOTIFICACIÓN: Investigada: Sociedad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo Electrónico: EFECTIVO LTDA. NIT. 830.131.993-1 EDILMA VEGA AGUIRRE 1.033.695.486 CLL 96 NO. 12-55 Bogotá, D.C. notificaciones@efecty.com.co COMUNICACIÓN: Señor: Identificación: Dirección: Ciudad: Correo electrónico: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXX XXXXXXXXXXXXXX