Resolución sancionatoria N° 10720 de 2020

(06 AGOSTO 2020) “Por la cual se resuelve un recurso de reposición” Radicación 19-109316 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y 21 de la Ley 1581 de 2012, y los numerales 7 y 9 del artículo 17 del Decreto 4886 de 2011 y,

CONSIDERANDO

PRIMERO: Que mediante Resolución 10720 del 11 de marzo de 201201, la Dirección de Investigación de Protección de Datos Personales resolvió: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad SCOTIABANK COLPATIA S.A. identificada con el NIT 860.034.594-1, de 10.000 DIEZ MIL UVT (Unidades de Valor Tributario), equivalentes a TRESCIENTOS CINCUENTA Y SEIS MILLONES SETENTA MIL PESOS ($356.070.000), por la vulneración de las disposiciones contenidas en el literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4 de la misma Ley, el artículo 9 ejúsdem, y el artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015; y el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, conforme a lo expuesto en la parte motiva del presente acto administrativo.

(…)

ARTÍCULO SEGUNDO: IMPARTIR dos órdenes administrativas a la sociedad SCOTIABANK COLPATRIA S.A, así: • Adoptar e implementar un procedimiento interno con el fin de verificar, previo al tratamiento de los datos administrados, si los datos personales compartidos por terceros han sido autorizados por sus respectivos titulares de manera previa, expresa e informada; y que se cuente con la constancia de dicha autorización. • En el caso particular de la transferencia de los datos efectuada en virtud del convenio suscrito con la EMPRESA DE TELECOMUNICACIONES DE BOGOTÁ (ETB), se realice una auditoría externa a efectos de establecer si esta última cuenta con la autorización previa, expresa e informada de los Titulares cuya información le fue entregada a la sociedad SCOTIABANK COLPATRIA S.A. Órdenes que deberán ser acatadas dentro del término de treinta días hábiles siguientes a la ejecutoria del presente acto administrativo.

PARÁGRAFO PROMERO: La sociedad SCOTIABANK COLPATRIA S.A. identificada con el NIT. 860.034.594-1, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los diez (10) días hábiles siguientes a la expiración del plazo previsto para su acaecimiento. Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo.

Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la sociedad.”

SEGUNDO: Que, la Resolución 10720 del 11 de marzo de 2020 se notificó personalmente a la señora CATALINA OLMOS RODRÍGUEZ, en representación de la sociedad SCOTIABANK COLPATRIA S.A, el 12 de marzo de 2020, según consta en la certificación expedida por la Actuación radicada el 11 de marzo de 2020, bajo el número 19-109316-12-0. “Por la cual se resuelve un recurso de reposición” HOJA N 2, Secretaría General Ad-Hoc de este Superintendencia, radicada bajo el número 19-109316- -19 del 20 de abril de 2020.

TERCERO: Que mediante Resolución 11792 del 16 de marzo de 2020, el Superintendente de Industria y Comercio resolvió: “ARTÍCULO 1º. SUSPENDER los términos procesales de las actuaciones administrativas que se surten ante las dependencias de esta Superintendencia, desde el 17 al 31 de marzo de 2020 (inclusive), fechas en que no correrán los términos para todos los efectos de ley, ni los siguientes servicios de la plataforma tecnológica en relación con dichos asuntos: Portal web, correo electrónico, sistemas de información, Internet, el sistema de trámites, sistemas de recaudos para la legalización de pagos y servicio al ciudadano.

CUARTO: Que mediante Resolución 12169 del 31 de marzo de 2020, el Superintendente de Industria y Comercio resolvió: “ARTÍCULO 1o. SUSPENDER los términos de las actuaciones administrativas sancionatorias y disciplinarias en curso, que se surten en las dependencias de esta Superintendencia, desde el 1° de abril de 2020 y hasta la vigencia del Estado de Emergencia Económica, Social y Ecológica decretada por el Presidente de la República, fechas en que no correrán los términos legales, incluidos los de caducidad de la facultad sancionatoria de la administración prevista de manera general en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo y en las formas especiales aplicables a las actuaciones de la Superintendencia de Industria y Comercio.

PARÁGRAFO PRIMERO: Se exceptúan del presente artículo aquellas actuaciones administrativas que en el marco de la Emergencia Económica, Social y Ecológica, se relacionen con la efectividad de derechos fundamentales, especialmente aquellos referidos a la garantía del hábeas data contenido en el artículo 15 de la Constitución Política, la adopción de medidas cautelares y el inicio de actuaciones en materia de Protección al Consumidor, Reglamentos Técnicos y Metrología Legal, así como la adopción de medidas cautelares y el inicio de actuaciones en materia de prácticas restrictivas de la competencia relacionadas con la afectación de bienes y servicios en el marco de la Emergencia Económica, Social y Ecológica, y en general todas aquellas que resulten necesarias y que deban adelantar las diferentes Dependencias de esta Entidad para conjurar la crisis causada por el coronavirus COVID-19.

PARÁGRAFO SEGUNDO: Se excluyen del presente artículo aquellas actuaciones administrativas de carácter no sancionatorio y/o aquellas propias de la función asesora prevista en el ordenamiento legal, que permitan su gestión a través de los medios electrónicos dispuestos por esta Superintendencia, con excepción de los trámites de solicitud de renovación de signos distintivos y el pago de las tasas de mantenimiento de Nuevas Creaciones, los cuales continuarán suspendidos en los términos del presente artículo.

QUINTO: Que, dentro del término concedido para el efecto, mediante escrito radicado bajo el número 19-109316-18 del 14 de abril de 2020, la sociedad SCOTIABANK COLPATRIA S.A, a través de apoderado especial, interpuso recurso de reposición y en subsidio apelación contra la Resolución 10720 del 11 de marzo de 20120, el cual fundamentó en los siguientes motivos de inconformidad: 5.1 En primer lugar, se refirió a la indebida valoración de la prueba técnica de supresión del dato del titular, indicando que: “1.

Señala la Resolución que no se aportó la evidencia técnica de eliminación de los datos personales del denunciante, a pesar de haber aportado al proceso las capturas de pantalla del sistema de almacenamiento del BANCO COLPATRIA, donde consta que, ante la búsqueda del nombre del titular del dato, no se obtiene resultado, demostrando con ello que el dato efectivamente se suprimió de la base de datos. 2.

Frente a lo anterior, se debe señalar que la prueba aportada es conducente y pertinente para demostrar la efectiva supresión del dato, por ello, el Despacho debió pronunciarse sobre la misma, haciendo un análisis adecuado sobre la pertinencia y conducencia de la prueba. 3. La falta de motivación por parte de la SIC constituye una violación al debido proceso de la investigada, por cuanto no se fundamentó la decisión de no tener en cuenta como prueba de supresión del dato personal las capturas de pantalla aportadas, sino que simplemente se omitió su análisis argumentando la falta de una prueba técnica, sin tener en cuenta que la prueba de la supresión efectiva del dato también puede ser demostrada con la prueba documental aportada. 4.

El sistema de almacenamiento del BANCO COLPATRIA se encuentra alojado en sus servidores, deviniendo imposible aportar una prueba diferente que demuestre su efectiva supresión, pues son las “Por la cual se resuelve un recurso de reposición” HOJA N 3, capturas de pantalla las que evidencian el resultado de lo que obtiene un funcionario, con acceso a las bases de datos de la organización, cuando realiza la búsqueda de un titular (potencial cliente). 5.

Es por ello por lo que se afirma que la prueba aportada encaminada a demostrar la verdadera supresión del dato personal es una prueba idónea y conducente que debió ser valorada por la SIC y su falta de valoración, constituyó una violación del derecho al debido proceso de la investigada.” 5.2 Continúa, haciendo referencia a la implementación material del programa integral de gestión y protección de datos personales por el Banco Colpatria, exponiendo que: “6.

La SIC debió tener presente la existencia de medidas y políticas adecuadas diseñadas dentro de la compañía para efectos de la imposición de la sanción y en consecuencia motivar las razones de la sanción impuesta. 7. Así, el Decreto 1377 de 2013, en su artículo 13 señaló que las políticas internas efectivas que se implementen deberán garantizar (i) que en la organización exista una estructura administrativa proporcional a la estructura del responsable para implementarlas, (ii) que se adopten mecanismos internos para poner en práctica las políticas que incluyen herramientas de implementación, entrenamiento y programas de educación y (iii) la adopción de procesos para la atención de reclamos y consultas de los titulares. 8.

La autoridad deberá evaluar entonces todo el sistema de protección de datos personales implementado en la organización para efectos de la imposición de la sanción y determinar si el incidente que originó la investigación correspondió a un evento aislado dentro de las capacidades limitadas con la que cuenta la organización. 9. Señala la SIC en la resolución sanción que el BANCO COLPATRIA asegura tener implementado un Programa Integral de Gestión de Datos Personales, a través del cual garantiza una debida diligencia en el cumplimiento de las normas que gobiernan la protección de datos, sin embargo, para la SIC los hechos que dieron lugar a la investigación no denotan el apego a los procedimientos implementados por el BANCO COLPATRIA y no resulta suficiente demostrar que se cuenta con medidas “robustas” conforme al tamaño empresarial del Banco, sino que adicionalmente se requiere que se materialice la adopción de esas medidas en la mitigación de los riesgos asociados a un indebido tratamiento de los datos. 10.

De lo anterior, se debe precisar que con el material probatorio aportado junto con los descargos dentro del proceso, se demostró que la falla que originó la presente investigación correspondió a un evento aislado dentro del Programa de Protección de Datos Personales. 11. Pues, el Sistema de Protección de Datos Personales implementado por el BANCO COLPATRIA garantiza: i. La existencia de una estructura administrativa de protección de datos personales, la cual comprende un Marco sobre la privacidad, una Política de Tratamiento de Datos y un Manual de Protección de Datos Personales.

La estructura del Plan de Protección de Datos Personales dentro del BANCO COLPATRIA, está a cargo del oficial de protección de datos designado y cumple con los parámetros establecidos para validar la correcta aplicación de la documentación dentro del BANCO COLPATRIA. ii. El Plan de Protección de Datos del BANCO COLPATRIA cuenta con mecanismos para la implementación del programa dentro de la organización y con un programa de entrenamiento a funcionarios, tal como se evidencia en el Marco sobre Privacidad de Scotiabank, en el cual se establece como función del Oficial de Protección de Datos elaborar y supervisar los programas de capacitación y difusión sobre la privacidad de los datos personales tratados.

En igual sentido, dentro del mismo documento se observa la asignación de los responsables de cada área para hacer efectiva la implementación de las directrices señaladas. iii. Igualmente el Plan de Protección de Datos del BANCO COLPATRIA tiene un procedimiento para la evaluación del impacto a la privacidad (PIA), el cual es una evaluación del CRUDD (consentimiento, retención, uso, divulgación, destrucción) en lo que se refiere a la información de identificación personal.

En el documento se establece un flujo del proceso del tratamiento de datos personales, comenzando con el consentimiento como pilar fundamental para la correcta recolección del dato personal y finalizando con la destrucción de dato, ya sea por solicitud del titular o por el cumplimiento de las finalidades autorizadas por el titular. Se diseñó por parte del BANCO COLPATRIA un proceso de seguimiento, monitoreo y reporte anual de todo el proceso de tratamiento de datos personales con el fin de mitigar la ocurrencia de incidentes o eventos, o bien, mitigar el impacto de la ocurrencia de un evento. 12.

De modo que es posible concluir que del material documental aportado como prueba en el proceso se observa la elaboración y real implementación del Programa Integral de Gestión y Protección de Datos Personales dentro del BANCO COLPATRIA. 13. Contrario a lo indicado por la SIC, sobre la no materialización de los documentos aportados a fin de evitar la comisión del incidente, es preciso señalar que no se tuvo en cuenta que el BANCO COLPATRIA no solo cuenta con un Programa de Gestión de Datos Personales, sino que fue gracias a su aplicación que se identificó el tratamiento inadecuado del dato del señor XXXXX XXXXX.

El cual ocurrió como un evento aislado, sobre el cual se tomaron medidas para evitar nuevamente su comisión. “Por la cual se resuelve un recurso de reposición” HOJA N 4, 14. Es decir que gracias a las directrices fijadas por el BANCO COLPATRIA se logró detectar el incidente y luego se determinaron las acciones pertinentes, según los parámetros establecidos dentro del Programa de Protección de Datos Personales, para notificar internamente el mismo y luego tomar las acciones adecuadas para evitar su repetición. Lo que demuestra la real y efectiva aplicación del Programa. 15.

Tal como se evidencia en el caso de la señora XXXXXXX xxxxxxx, quien el 17 de septiembre de 2018 le solicitó al banco eliminar sus datos y en consecuencia no recibir información sobre promociones. La referida solicitud fue resuelta, oportunamente, por el BANCO COLPATRIA y se procedió a suprimir toda la información que se tenía del titular, tal como se evidencia en las capturas de pantalla del Sistema de Gestión de Quejas y Reclamos que se adjuntan. 16.

Así, la SIC en la Resolución sanción debió analizar el Programa Integral de Protección de Datos Personales del BANCO COLPATRIA como un atenuante para efectos de la imposición de la sanción y no valorar las pruebas aportadas como material documental aislado uno del otro, pues cada uno de los documentos hace parte de un Programa de Gestión de Protección de Datos Personales, que no evita la ocurrencia de incidentes durante el tratamiento de datos personales, sino que busca mitigar el riesgo de su ocurrencia; de modo que el evento ocurrido con el señor XXXXX XXXXX, corresponde a un evento aislado durante el tratamiento de los datos personales por parte del BANCO COLPATRIA, sobre el cual se tomaron las medidas adecuadas para evitar que vuelva a suceder. 17.

Es por lo anterior que el programa del BANCO COLPATRIA cuenta con un procedimiento de Gestión de Incidentes y Violaciones de la privacidad, así como con un procedimiento para la evaluación del impacto a la privacidad (PIA), en el cual se establece un diagrama de flujo sobre el actuar del funcionario una vez identificado el incidente y una matriz de sensibilidad de la privacidad, a fin de mitigar el impacto ante la ocurrencia de un evento.

Por ello es que fue hasta la aplicación de los diversos procedimientos que fue posible para el BANCO COLPATRIA evidenciar la falla dentro del sistema, de modo que una vez identificado – el evento-, se procedió a corregir y a mitigar los riesgos posiblemente generados. 18. Así, se demostró que el Programa Integral de Protección de Datos Personales del BANCO COLPATRIA está compuesto, entre otros, por: (i) la Política de Tratamiento de Datos Personales Scotiabank Colpatria S.A.;

(ii) la Política de Seguridad de la Información del Banco Colpatria Multibanca Colpatria S. A; (iii) el Manual de Políticas y Tratamientos de Protección de Datos Personales. Documentos que son efectivamente aplicados a los procedimientos de la organización que implican el tratamiento de datos personales. 19. La SIC no motivó la decisión en cuanto a la supuesta falta de implementación del Programa Integral de Protección de Datos Personales por el BANCO COLPATRIA, transgrediendo el derecho al debido proceso, pues, de la resolución sanción, se evidencia que el Despacho simplemente afirmó que los documentos aportados no fueron implementados por el BANCO COLPATRIA, sin hacer un análisis en conjunto de los documentos que hacen parte del Programa de Protección de Datos Personales y sin tener en cuenta que fue por la implementación del Programa que se logró encontrar el incidente y tomar medidas para evitar nuevamente su ocurrencia. 20.

En resumen, el BANCO COLPATRIA cuenta con un Programa de Gestión y Protección de Datos Personales, el cual está compuesto tanto por material documental como por un grupo de funcionarios encargados de la implementación real y efectiva dentro de la organización. Así, el programa diseñado e implementado por el BANCO COLPATRIA permite identificar el riesgo e incidentes durante el tratamiento de los datos personales y por ende deberá ser valorado por la SIC como un atenuante de la sanción.” 5.3 Luego, expone argumentos en torno a la proscripción de la responsabilidad objetiva en los procesos administrativos sancionatorios, afirmando lo siguiente: “21.

La responsabilidad objetiva está proscrita en materia administrativo-sancionatorio, por lo que los argumentos y las pruebas presentadas en los descargos dentro del proceso, debieron ser valoradas por la 22. El artículo 29 de la Constitución Política señala que el debido proceso deberá ser tenido en la cuenta en toda clase de actuaciones dentro del Ordenamiento Jurídico.

Es por lo que una de las formas de velar por la protección de este derecho es la proscripción de la responsabilidad objetiva en las actuaciones, dentro de los que se incluyen los procesos administrativos sancionatorios. 23. Tal como lo ha interpretado la jurisprudencia, “En materia sancionatoria de la administración, la estimación de los hechos y la interpretación de las normas son expresión directa de la potestad punitiva del Estado, cuyo ejercicio legítimo debe sujetarse a los principios mínimos establecidos en garantía de interés público y de los ciudadanos, entre ellos, los principios de legalidad, imparcialidad y publicidad (y) proscripción de la responsabilidad objetiva-nulla poena sine culpa (…)” 24.

De modo que la simple acción u omisión de una norma no bastará para hacer responsable al investigado.” 5.4 Posteriormente, se refiere a la presunta violación del debido proceso del Banco Colpatria al aplicar una ley diferente de la Ley 1581 de 2012, para graduar la sanción, afirmando que: “Por la cual se resuelve un recurso de reposición” HOJA N 5, “25.

La Dirección a lo largo de la Resolución 10720 del 11 de marzo de 2020 señala que la facultad sancionatoria de la Superintendencia de Industria y Comercio tiene como fuente la Ley 1581 de 2012, en especial, su artículo 23. 26. En el mismo sentido, indica que los criterios para graduar las sanciones en ejercicio de la potestad sancionatoria que le fue conferida por la Ley 1581 de 2012, se encuentran mencionados en el artículo 24 de la misma ley. 27.

En efecto, para la Dirección ‘‘[ ] La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 23 de la misma ley. Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar’’. 28.

Sin embargo, de manera posterior, al momento de aplicar los criterios de graduación de la sanción, la Dirección se basa en los criterios establecidos en el artículo 19 de la Ley 1266 de 2008 al señalar que ‘‘[ ] Para la tasación de la multa no serán aplicados los criterios de graduación agravantes de la sanción señalados en los literales b), c), d) y e) del artículo 19 de la Ley 1266 de 2008 debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia, (iii) no hubo reincidencia en la comisión de la infracción y, iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho’’. 29.

La contradicción se evidencia si se tiene en cuenta que el artículo 19 de la Ley 1266 de 2008 establece en su literal b) como criterio para graduar la sanción ‘‘[ ] el daño que tal infracción hubiere podido causar’’, a diferencia del literal b) del artículo 24 de la Ley 1581 de 2012. 30. Como consecuencia de ello, la aplicación de una norma diferente a la Ley 1581 de 2012 que hace la Dirección al estudiar los criterios de graduación de la sanción impuesta al BANCO COLPATRIA, crea un estado de indefinición jurídica para la sociedad sancionada al no tener certeza sobre los criterios de graduación de la sanción que el ente administrativo aplica. 31.

Así pues, de ser el artículo 19 de la Ley 1266 de 2008 la norma aplicable, el BANCO COLPATRIA podría argumentar como un criterio de graduación de la sanción para su reducción, que la infracción cometida no generó daño alguno para el derecho fundamental de hábeas data del señor XXXXX XXXXX, a diferencia de si se aplica el artículo 24 de la Ley 1581 de 2012 que no contempla este criterio de graduación de la sanción, circunstancia que genera la violación del derecho al debido proceso de mi poderdante. 32.

Y ello es así porque ‘‘El artículo 29 de la Constitución dispone, de una parte, que toda actuación se desarrolle con sujeción al procedimiento legalmente preestablecido en la materia [ ] De todo lo anterior, se concluye que para el ejercicio de la potestad sancionatoria a cargo de la administración se requiere: (i) una ley previa que determine los supuestos que dan lugar a la sanción, así como la definición de los destinatarios de la misma, -sin que necesariamente estén desarrollados todos los elementos del tipo sancionatorio-, ya que es válida la habilitación al ejecutivo con las limitaciones que la propia ley impone;

(ii) que exista proporcionalidad entre la conducta o hecho y la sanción prevista, de tal forma que se asegure tanto al administrado como al funcionario competente, un marco de referencia que permita la determinación de la sanción en el caso concreto, y (iii) que el procedimiento administrativo se desarrolle conforme a la normatividad existente, en procura de garantizar el debido proceso’’(Subraya por fuera del texto original). 33.

En corto: el ejercicio de la potestad sancionatoria de la Dirección de Investigación de Protección de Datos Personales violó el debido proceso del BANCO COLPATRIA al aplicar una norma diferente de la Ley 1581 de 2012 al analizar los criterios de graduación de la sanción, teniendo en cuenta que el contenido de las normas citadas no es idéntico y que esta circunstancia le impide a la sociedad sancionada ejercer una efectiva defensa de sus intereses en el presente trámite administrativo.” 5.5 Manifiesta la investigada que esta Dirección realizó una indebida graduación de la sanción, debido a que: “34.

De manera preliminar se debe señalar que la multa impuesta al BANCO COLPATRIA es excesiva y desproporcionada, y tiene como fin generar una prevención especial negativa a la sociedad sancionada para evitar que en el futuro cometa infracciones al régimen de protección de datos personales, sin tener en cuenta “Por la cual se resuelve un recurso de reposición” HOJA N 6, que la infracción imputada se trató de un caso aislado y que el BANCO COLPATRIA cuenta con un programa integral de Gestión de Datos que se activa para impedir que casos como el del sub lite se concreten. 35.

Además, se pone de presente que la Dirección al momento de realizar la graduación de la sanción del BANCO COLPATRIA le dio mayor prevalencia a los criterios de la capacidad económica del investigado, el tamaño de la empresa, sus ingresos operacionales y su patrimonio, es decir, su información financiera, omitiendo ponderar en debida forma, entre otros, los criterios del posible beneficio económico obtenido por el infractor, la reiteración de la infracción y la colaboración del BANCO COLPATRIA para esclarecer los hechos investigados y su conducta durante el trámite de la investigación administrativa. 36.

Así pues, en virtud del artículo 24 de la Ley 1581 de 2012 como norma aplicable al momento de graduar las sanciones por la infracción del régimen de protección de datos personales, conviene cuestionar por qué si los criterios de agravación de la sanción contemplados en los literales b), c), d) y e) del citado artículo, no se resultaron aplicables, el monto de la sanción impuesta fue de 10.000 UVT. 37.

En este punto se debe destacar que el BANCO COLPATRIA no obtuvo beneficio económico alguno como resultado del tratamiento del dato personal de XXXXX XXXXX, teniendo en cuenta que el titular manifestó su voluntad de no acceder al beneficio de la tarjeta de crédito de marca compartida ETBCOLPATRIA, a que tenía derecho como cliente de la ETB. 38.

Por otro lado, se debe precisar que el BANCO COLPATRIA no tiene sanciones en firme con anterioridad por la infracción de normas que protegen los derechos de los titulares de los datos personales, ni exteriorizó un comportamiento tendiente a obstruir la acción investigadora de la Superintendencia de Industria y Comercio. 39. Tampoco es aplicable el criterio de la renuencia o desacato a cumplir las órdenes impartidas por la COLPATRIA cumplió con la orden impartida por la Dirección de Investigación de Protección de Datos Personales mediante la Resolución 4968 del 28 de febrero de 2019, de suprimir la información del señor XXXXX XXXXX que tuviera en su base de datos. 40.

Ahora, tratándose del único criterio de atenuación que contempla el literal f) del artículo 24 de la Ley 1581 de 2012 consistente en ‘‘El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar’’, la Dirección señaló: ‘‘[ ] Tampoco se tendrá en cuenta el criterio de atenuación señalado en el literal f) por cuanto, la investigada no admitió la comisión de la infracción de los hechos materia de investigación’’. 41.

Sin embargo, se equivoca la Dirección al señalar que la sociedad sancionada no admitió la comisión de la infracción que es materia de investigación porque en el escrito de descargos radicado el 26 de julio de 2019 en relación con el primer cargo, se señaló lo siguiente: ‘‘iv) El Banco desplegó un comportamiento razonable dirigido a obtener en tiempo el soporte de la autorización para el tratamiento de los datos personales requerida por el titular y por la Superintendencia de Industria y Comercio, que a pesar de existir no fue remitida de manera oportuna por la ETB, deviniendo su obtención oportuna en imposible, y encontrándose que la autorización del titular contenía una exclusión para la finalidad requerida por la ETB y el Banco’’ (Subraya y negrilla por fuera del texto original). 42.

Con base en lo señalado en el párrafo anterior, se advierte que el BANCO COLPATRIA, después de analizar la autorización de XXXXX XXXXX remitida por la ETB, reconoció en forma expresa que no contaba con la autorización para tratar el dato personal del titular en la medida en que la autorización contenía una exclusión a la finalidad querida por el BANCO COLPATRIA y por la ETB. 43.

Así pues, el BANCO COLPATRIA aceptó la vulneración del deber impuesto a los responsables del tratamiento de los datos personales de solicitar y conservar en las condiciones previstas en la ley la copia de la autorización otorgada por el titular, establecido en el literal b) del artículo 17 de la Ley 1581 de 2012. 44. Aquí se debe señalar que el hipotético caso de que la Dirección no aceptara la procedencia del criterio de atenuación de la sanción contemplado en el literal f) del artículo 24 de la Ley 1581 de 2012 como consecuencia de la confesión del BANCO COLPATRIA de la comisión de la infracción del literal b) del artículo 17 de la Ley 1581 de 2012 en el escrito de descargos, se configuraría una falsa motivación por la existencia de un error de hecho que llevó al Despacho a pretermitir un criterio de atenuación en la dosimetría de la sanción. 45.

Como consecuencia de lo anterior, se solicita a la Dirección se aplique el criterio de atenuación establecido en el literal f) de la Ley 1581 de 2012 y se disminuya la multa impuesta al BANCO COLPATRIA de SIETE MIL (7.000) UVT por la infracción del literal b) del artículo 17 de la Ley 1581 de 2012.” 5.6 En cuanto al término otorgado por esta Dirección para el cumplimiento de las órdenes administrativas impartidas, señala la sociedad investigada que este es insuficiente, toda vez que: “46.

En la Resolución 10720 de 2020 la Dirección impartió dos órdenes administrativas al BANCO COLPATRIA consistentes en: (i) adoptar e implementar un procedimiento interno con el fin de verificar, previo al tratamiento de los datos administrados, si los datos personales compartidos por terceros han sido autorizados por sus respectivos titulares de manera previa, expresa e informada, y que se cuente con la constancia de dicha autorización y (ii) realizar una auditoría externa a efectos de establecer si la transferencia “Por la cual se resuelve un recurso de reposición” HOJA N 7, de datos efectuada del convenio suscrito con la ETB cuenta con la autorización previa, expresa e informada de los titulares cuya información le fue entregada al BANCO COLPATRIA. 47.

Para tal efecto, la Dirección señaló que las órdenes deberían ser acatadas dentro del término de 30 días hábiles siguientes a la ejecutoria del acto administrativo, debiendo acreditar el BANCO COLPATRIA ante la siguientes a la expiración del plazo para su acatamiento, remitiendo una certificación de cumplimiento de las órdenes impartidas emitida por un auditor interno o externo con conocimiento o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la sociedad. 48.

En este punto se debe señalar que el plazo para acatar y acreditar el cumplimiento de las órdenes administrativas impartidas por la Dirección se torna insuficiente y desconoce el plazo razonable que su cumplimiento a satisfacción demanda, por las siguientes razones: 49. En el primer caso, la orden de adoptar e implementar un procedimiento interno con el fin de verificar si los datos personales compartidos por terceros han sido autorizados por sus titulares, y si se cuenta con dicha autorización, implica, entre otras cosas: (i) elaborar las bases teóricas del procedimiento interno de verificación de la autorización de los titulares de los datos personales compartidos por terceros;

(ii) armonizar dicho procedimiento con el Programa Integral de Gestión de Datos Personales que actualmente existe y es implementado por el BANCO COLPATRIA; (iii) analizar las especificidades de la información que normalmente es compartida por terceros para incluir factores diferenciales en el procedimiento; (iv) socializar el procedimiento interno y someterlo a aprobación de diferentes niveles del BANCO COLPATRIA; e, (v) implementar un plan de capacitación adicional y complementario a los ya existentes de los funcionarios del BANCO COLPATRIA sobre el procedimiento interno que se ordena crear. 50.

En el segundo caso, la orden de realizar una auditoría externa para establecer si la transferencia de datos efectuada del convenio suscrito con la ETB cuenta con la autorización de los titulares cuya información le fue entregada al BANCO COLPATRIA, exige, entre otras cosas: (i) la elaboración de un plan de trabajo conjunto que se ajuste a la disponibilidad del auditor externo, de la ETB y del BANCO COLPATRIA;

(ii) el establecimiento de tiempos de entrega de la información al asesor externo, de análisis y evaluación de dicha información, y de elaboración de un informe de cumplimiento; y, (iii) la coordinación con actividades de terceros que no dependen exclusivamente de la gestión del BANCO COLPATRIA. 51. Con base en lo anterior y considerando la magnitud del flujo de información que maneja el BANCO COLPATRIA y la necesidad de coordinar actividades con terceros para el cumplimiento de las órdenes administrativas, se solicita a la Dirección que amplíe el término para su acatamiento de 30 a 60 días hábiles con posterioridad a que el acto administrativo sancionatorio cobre ejecutoria.” 5.7 Finaliza su escrito, señalando que conforme a los medios de prueba obrantes en el expediente y a las consideraciones presentadas en este recurso, eleva unas solicitudes principales y secundarias, las cuales se presentan a continuación: “Solicitud principal i. Que se realice una adecuada graduación de la sanción impuesta al BANCO COLPATRIA por la infracción del literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9, de la Ley 1581 de 2012, y las disposiciones del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; y, el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 de la Le y 1581 de 2012 y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015; en el sentido de reducir el monto de la multa de DIEZ MIL (10.000) UVT a CINCO MIL (UVT), teniendo en cuenta que se le dio mayor prevalencia al criterio de la información financiera del BANCO COLPATRIA sobre los demás criterios de graduación que resultan aplicables según el artículo 24 de la Ley 1581 de 2012. ii.

Que se amplíe el término para el acatamiento de las dos órdenes administrativas impartidas al BANCO COLPATRIA en el ARTÍCULO SEGUNDO del RESUELVE de la Resolución 10720 del 11 de marzo de 2020 de treinta (30) a sesenta (60) días hábiles con posterioridad a que el acto administrativo que impone la sanción cobre ejecutoria, teniendo en cuenta el tamaño de la empresa, la cantidad de información que se debe procesar y la auditoría externa que se debe realizar. iii.

Que se especifiquen y aclaren los soportes documentales o entregables que el Banco Colpatria debe remitir a la Superintendencia para acreditar el cumplimiento de las órdenes administrativas impartidas en el ARTÍCULO SEGUNDO del RESUELVE de la Resolución 10720 del 11 de marzo de 2020, y en qué medio. Solicitud primera subsidiaria: i. Que se reduzca el monto de la multa impuesta al BANCO COLPATRIA de SIETE MIL (7.000) UVT a TRES MIL (3.000) UVT, por la infracción del literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9, de la Ley 1581 de 2012, y las disposiciones del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, y se aplique el criterio de atenuación establecido en el literal f) del artículo 24 de la Ley 1581 de 2012, teniendo en cuenta que la sancionada aceptó la comisión de esta infracción en el escrito de descargos radicado el 26 de julio de 2019, es decir, antes de que la Dirección impusiera la sanción mediante la Resolución 10720 del 11 de marzo de 2020.

“Por la cual se resuelve un recurso de reposición” HOJA N 8, ii. Que se amplíe el término para el acatamiento de las dos órdenes administrativas impartidas al BANCO COLPATRIA en el ARTÍCULO SEGUNDO del RESUELVE de la Resolución 10720 del 11 de marzo de 2020 de treinta (30) a cuarenta y cinco (45) días hábiles con posterioridad a que el acto administrativo que impone la sanción cobre ejecutoria, teniendo en cuenta el tamaño de la empresa, la cantidad de información que se debe procesar y la auditoría externa que se debe realizar. iii.

Que se especifiquen y aclaren los soportes documentales o entregables que el BANCO COLPATRIA debe remitir a la Superintendencia para acreditar el cumplimiento de las órdenes administrativas impartidas en el ARTÍCULO SEGUNDO del RESUELVE de la Resolución 10720 del 11 de marzo de 2020, y en qué medio. Solicitud segunda subsidiaria: En el evento en que la Dirección decida no reducir el monto de la multa impuesta como sanción al BANCO COLPATRIA, ni ampliar el término para acreditar el cumplimiento de las órdenes administrativas impartidas al BANCO COLPATRIA en el ARTÍCULO SEGUNDO del RESUELVE de la Resolución 10720 del 11 de marzo de 2020, solicito se conceda el recurso de apelación ante el Superintendente Delegado para la Protección de Datos Personales.”

SEXTO: Que una vez revisado el cumplimiento de los requisitos establecidos en el artículo 77 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo y con base en lo expuesto por el recurrente, este Despacho procede a realizar las siguientes consideraciones: 6.1 De la presunta indebida valoración de la prueba técnica de supresión del dato del titular Antes de entrar a estudiar los argumentos expuestos por la sociedad investigada en referencia a la presunta indebida valoración de la prueba técnica de supresión del dato del titular, se realizarán las siguientes precisiones en torno al concepto de prueba, tal como se sigue a continuación. De conformidad con lo señalado por el Consejo de Estado, Sala de lo Contencioso Administrativo Sección Segunda Subsección A, en Sentencia del 20 de septiembre de 2007, proferida en el Expediente número 25000232500020040522601 (0864-07) Consejero Ponente Doctor Gustavo Eduardo Gómez.

“la prueba ha sido definida por diversos autores de la siguiente manera: Para Bentham, después de sostener que la palabra prueba tiene algo de falaz, concluir que no debe entenderse por ella sino un medio del que nos serviremos para establecer la verdad de un hecho, medio que puede ser bueno o malo, completo o incompleto; por su parte para Ricci “la prueba no es un fin por si mismo, sino un medio dirigido a la consecución de un fin, que consiste en el descubrimiento de la verdad” y agrega que “antes de emplear un medio para conseguir el fin que se persigue es de rigor convencerse de la idoneidad del medio mismo; de otra suerte se corre el riesgo de no descubrir la verdad que se busca […] En esta materia, la administración debe remitirse, en lo no regulado en las normas Contencioso Administrativas, a lo dispuesto en el Código General del Proceso (que sustituyó el Código de Procedimiento Civil), por remisión expresa que hace la Ley 1437 de 2011 en su artículo 306, así mismo el artículo 40 de este ordenamiento señala que “Serán admisibles todos los medios de prueba señalados en el Código de Procedimiento Civil”.

Debido a lo anterior, es preciso tener en cuenta las disposiciones que sobre la materia contempla el Código General del Proceso, que como medios de prueba ha establecido en el artículo 165 los siguientes “Son medios de prueba la declaración de parte, la confesión, el juramento, el testimonio de terceros, el dictamen pericial, la inspección judicial, los documentos, los indicios, los informes y cualesquier otros medios que sean útiles para la formación del conocimiento del juez”.

Con fundamento en lo expuesto, es claro que las pruebas que se pretendan hacer valer tanto en un proceso como en sede administrativa deben ser acordes con el asunto objeto de que se trate, debiendo cumplir con ciertos requisitos de conducencia, pertinencia y eficacia. El Consejo de Estado en reiterada jurisprudencia ha señalado que: “la prueba conducente debe dirigirse a determinar si el medio probatorio solicitado resulta apto jurídicamente para acreditar determinado hecho.

Por su parte, la pertinencia de la prueba se puede definir frente a los hechos alegados en el proceso respecto de los cuales gira verdaderamente el tema del proceso y, finalmente, la utilidad o eficacia de la prueba la constituye el efecto directo dentro HOJA N 9, “Por la cual se resuelve un recurso de reposición” del juicio que informa al juez sobre los hechos o circunstancias pertinentes que, de alguna manera, le imprimen convicción al fallador”.2 Una vez realizadas las anteriores precisiones, procede este Despacho con el análisis de los argumentos expuestos por el Recurrente en referencia a la presunta indebida valoración de la prueba técnica de supresión del dato del titular, así: Inicia su argumentación, manifestando que, “Señala la Resolución que no se aportó la evidencia técnica de eliminación de los datos personales del denunciante, a pesar de haber aportado al proceso las capturas de pantalla del sistema de almacenamiento del BANCO COLPATRIA, donde consta que ante la búsqueda del nombre del titular del dato, no se obtiene resultado, demostrando con ello que el dato efectivamente se suprimió de la base de datos”.

Este argumento no es del recibo por este Despacho, en tanto tal y como se expuso en el numeral 8.2.2 de la Resolución 10720 del 11 de marzo de 2020, se debe resaltar que la prueba obrante en el anexo número 8, denominada “Soporte eliminación del dato de contacto” no contiene una evidencia técnica de eliminación de los datos personales del denunciante en la fecha anunciada, esta es, el 21 de marzo de 2018, para lo cual se trae a colación la captura de pantalla allegada como anexo 8 del escrito de descargos y se realizan las siguientes precisiones: En referencia a esta pieza probatoria y teniendo en cuenta que no hay una disposición que determine el valor probatorio que debe dársele a las capturas de pantalla, este Despacho, en cumplimiento de las disposiciones citadas ha basado su valoración probatoria, así: En efecto, como lo sostiene el recurrente las capturas de pantalla han sido apreciadas como prueba documental, y no como mensaje de datos, teniendo en cuenta que el medio en que fue originado es digital.

Así, conforme lo prevé el artículo 247 del Código General del Proceso “Serán valorados como mensajes de datos los documentos que hayan sido aportados en el mismo formato en que fueron generados, enviados, o recibidos, o en algún otro formato que lo reproduzca con exactitud. La simple impresión en papel de un mensaje de datos será valorada de conformidad con las reglas generales de los documentos.” A su turno la Ley 527 de 1999, en el artículo segundo, define el mensaje de datos como: “ARTICULO 2o.

DEFINICIONES. Para los efectos de la presente ley se entenderá por: a) Mensaje de datos. La información generada, enviada, recibida, almacenada o comunicada por medios electrónicos, ópticos o similares, como pudieran ser, entre otros, el Intercambio Electrónico de Datos (EDI), Internet, el correo electrónico, el telegrama, el télex o el telefax;” En línea con lo anterior, la Corte Constitucional a través de la Sentencia T-043 de 2020 se refirió al valor probatorio que se le debe otorgar a las capturas de pantalla, señalando, entre otras cosas, que: CONSEJO DE ESTADO - SECCIÓN PRIMERA.

C.P.: MANUEL SANTIAGO URUETA AYOLA del 18 de octubre de 2001Radicación número: 2500023-24-000-1999-0034-01(6660). “Por la cual se resuelve un recurso de reposición” HOJA N 10, “Técnicamente definimos a las capturas de pantalla como aquella imagen digital de lo que debería ser visible en un monitor de computadora, televisión u otro dispositivo de salida visual.

(…) A través de los mismos se procura lograr un indicio sobre si un determinado contenido fue trasmitido por la red a un determinado usuario destinatario (caso sistemas de mensajería) o, por ejemplo, determinar la existencia de una publicación en una red social (v.gr. Facebook o Twitter) (…). Las capturas de pantalla impresas, no son prueba electrónica, sino una mera representación física materializada en soporte papel de un hecho acaecido en el mundo virtual.

(…) || Reiteramos, esa copia no es el documento electrónico original generado a través de la plataforma de mensajería, sino una simple reproducción del mismo (carente de metadatos), que por más que permite entrever la ocurrencia de aquellos sucesos invocados, no causa per se la necesaria convicción como para tener a estos por ocurridos. Tampoco se podrá establecer la integridad del documento (es decir, que el mismo no fue alterado por la parte o por terceros), o asegurar su necesaria preservación a los efectos de ser peritado con posterioridad.

Sobre el tema de la autenticidad, los escritos especializados realzan que no puede desconocerse la posibilidad de que, mediante un software de edición, un archivo digital impreso que contenga texto pueda ser objeto de alteraciones o supresiones, de ahí el valor suasorio atenuado que el juzgador debe reconocerle a estos elementos, de tal manera que tomándolos como indicios los analice de forma conjunta con los demás medios de prueba.” De manera pues, que partiendo de que se trata de una prueba documental, no técnica, dicho documento no otorga certeza acerca de la efectiva supresión de los datos tratados por la investigada, pues tampoco da cuenta de aspectos absolutamente relevantes como la Base de Datos o los criterios de búsqueda.

En ese sentido, las imágenes aportadas en modo alguno permiten constatar que la sociedad BANCO COLPATRIA procedió de conformidad con lo solicitado. Analizada la pieza probatoria, mediante la cual el Recurrente soporta la presunta indebida valoración de la prueba técnica de supresión del dato del titular, encuentra este Despacho que, la misma no desvirtúa los argumentos expuestos por esta Dirección en la parte motiva de la Resolución 10720 del 11 de marzo de 2020, por el contrario, confirma que no obra en el expediente una evidencia técnica de eliminación de los datos personales del denunciante en la fecha anunciada, esta es, el 21 de marzo de 2018. 6.2 De la presunta implementación material del programa integral de gestión y protección de datos personales por el Banco Colpatria Señala el Recurrente que, “La SIC debió tener presente la existencia de medidas y políticas adecuadas diseñadas dentro de la compañía para efectos de la imposición de la sanción y en consecuencia motivar las razones de la sanción impuesta.” (…) “Se debe precisar que, con el material probatorio aportado junto con los descargos dentro del proceso, se demostró que la falla que originó la presente investigación correspondió a un evento aislado dentro del Programa de Protección de datos personales.” En sincronía con esta afirmación, señala el BANCO COLPATRIA (hoy Scotiabank Colpatria) en el escrito de descargos3 que cuenta con un programa de gestión de datos personales, el cual está compuesto de forma general por los elementos y medidas que se enuncian a continuación: 1.

“Marco sobre la Privacidad de Scotiabank: Establece los lineamientos generales sobre las medidas y procesos que deben ser implementados y monitoreados para asegurar una gestión adecuada de los datos personales. Estos lineamientos están estructurados en un modelo de gobierno interno, la identificación de riesgos, los procesos y controles que deben soportar el programa, la recopilación de indicadores y la presentación de informes.

(Anexo 10). Actuación radicada el 26 de julio de 2019, bajo el número 19-109316- -00006-0000. “Por la cual se resuelve un recurso de reposición” HOJA N 11, Como parte del modelo de gobierno interno, la alta dirección designó formalmente una unidad gerencial que lidera los procesos y medidas que soportan el programa integral de gestión de datos.

Esta unidad es liderada por el Oficial de Privacidad y protección de Datos. En suma, a la descripción proporcionada por el Recurrente, en términos generales, este documento describe el objetivo del marco sobre privacidad de Scotiabank. Después, define los siguientes conceptos: i) Oficiales de privacidad 1A/1B, ii) los riesgos de incumplimiento, iii) las personas, iv) la información personal, v) la privacidad, vi) el programa de privacidad, vii) los reglamentos de privacidad, viii) el riesgo de privacidad y los Reglamentos.

En la tercera sección, el documento se refiere a las políticas y procedimientos relacionados con: La Política de Cumplimiento de Scotiabank, La Política de Privacidad del Empleado de Scotiabank; y El Código de Privacidad de Scotiabank y Procedimientos de Gestión de Incidentes y Violaciones de la Privacidad de Scotiabank. Posteriormente, realiza una síntesis de los elementos del programa de privacidad, los modelos de gobierno interno, los procesos y controles, la función de los datos y la presentación de informes.

Igualmente, hace mención del modelo de gobierno interno respecto de las responsabilidades de la Alta Dirección, la declaración de apetito por el riesgo y las respectivas funciones y responsabilidades de ese gobierno en tres líneas de defensa. Finalmente, describe los procesos y controles compartidos entre la EPO, los oficiales de privacidad del país, los oficiales de privacidad 1A/1B, las líneas de negocios, las funciones de control y las otras personas, dentro de los plazos establecidos, a las partes que así lo requieran según lo establezca la EPO. 2.

Política de Tratamiento de Datos Personales: La cual detalla los derechos del titular, las finalidades y tratamiento de la información personal. Esta política está publicada en la página web del Banco. En efecto, según consulta realizada por esta Dirección, la Política se encuentra cargada en el sitio web del Banco, y en términos generales se ajusta a los aspectos establecidos en el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015, el cual específica la información que debe incluir en la política, que en ningún caso debe ser inferior a lo establecido en dicha norma, de conformidad con el artículo 25 de la Ley 1581 de 2012.

Cita la norma: “(…) Artículo 2.2.2.25.3.1. Políticas de Tratamiento de la información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas. Las políticas de tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares.

Dichas políticas deberán incluir, por lo menos, la siguiente información: 1. Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable. 2. Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad. 3. Derechos que le asisten como Titular. 4.

Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización. 5. Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización. 6.

Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos. “Por la cual se resuelve un recurso de reposición” HOJA N 12, Cualquier cambio sustancial en las políticas de tratamiento, en los términos descritos en el artículo 2.2.2.25.2.2. del presente Decreto deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas.” 3.

Manual de Políticas y Tratamiento de Protección de Datos Personales: Establece el gobierno corporativo que soporta el programa de gestión de datos personales del Banco, consolida los procedimientos implementados para soportar la recopilación de la autorización para el tratamiento de datos personales, la recolección y en general el tratamiento de información personal y los canales dispuestos para el cumplimiento de los derechos de los titulares.

Adicionalmente, establece los procedimientos de evaluaciones de privacidad que son realizados sobre los procesos e iniciativas que administran información personal, las actividades para la gestión de incidentes de privacidad, la recopilación de indicadores y presentación de informes y los mecanismos de entrenamiento y difusión del programa a través de todos los niveles de la organización. (Anexo No. 11) Al revisar el documento, encuentra este Despacho que, el anexo establece las prácticas observadas por el Grupo de Empresas de Scotibank, incluyendo qué tipo de información es recopilada, su uso, y con quien comparte dicha información. El Banco exalta que ciñe su actuación a los siguientes principios, para el tratamiento de Datos: legalidad, finalidad, libertad, veracidad, transparencia, acceso y circulación restringida, seguridad, confidencialidad y temporalidad.

Además, señala que el titular cuenta con derechos de la información, tales como, el de actualizar los datos personales, solicitar pruebas de autorización, ser informado del tratamiento de sus datos, presentar ante la SIC quejas e infracciones y revocar la supresión de datos cuando no se respete los principios. El anexo tiene la recopilación, uso y divulgación de la información de sus clientes con sus datos para prestar sus servicios y tener veracidad de su identidad.

Se indica allí mismo, que, con esta información se puede realizar análisis para estudios de mercadeo, así como la grabación y monitoreo de las llamadas. Señala de manera expresa que, las finalidades y tratamientos pueden ser para proveedores y también estar sujetas a sus especificidades. 4. Programa de entrenamiento y capacitación: Conformado por un curso detallado y ejemplificado con casos de fácil entendimiento que debe ser desarrollado por todos los funcionarios de la organización de forma obligatoria, capacitaciones dirigidas conforme a los procesos de las unidades y mecanismos de comunicación para evaluar y resolver consultas de la organización y difundir lineamientos y mensajes para reforzar las medidas del programa e impulsar una cultura de protección de datos dentro de la organización. (Anexo 12).

Este documento avizora algunos aspectos básicos sobre la privacidad, y establece las obligaciones de proteger la información personal y de notificar todos los incidentes y de violación de la privacidad. En este sentido expone tres categorías de confidencialidad: nivel alto, moderado y bajo. Señala que existen 10 principios de privacidad: ser responsable, recopilar información, contar con el consentimiento, limitar su uso, exactitud, proteger la información, políticas y procedimiento, que los clientes puedan ingresar a sus datos y resolver inquietudes.

Reseña que hay dos tipos de eventos de la privacidad en Scotiabank: violaciones de la privacidad e incidentes de la privacidad. Los Incidentes de la privacidad, en términos del Banco, son por recopilación, uso, acceso, divulgación, retención o destrucción no autorizada de información personal y pérdida de información personal. Por su parte, los requerimientos sobre mantenimiento apuntan a un registro de todos los incidentes y casos de violación de la privacidad. 5.

Procedimiento para la Evaluación de Impacto de Privacidad: Por medio del cual se evalúa el riesgo de los procesos e iniciativas que administran información personal, Como resultado de la evaluación se emite una carta de certificación que recopila el análisis y establece las “Por la cual se resuelve un recurso de reposición” HOJA N 13, medidas y controles que deben ser implementados para asegurar una protección de datos adecuada.

(Anexo No. 13). Este anexo describe los PROCEDIMIENTOS PARA LA EVALUACIÓN DEL IMPACTO A LA PRIVACIDAD (PIA), así: La PIA es fundamental para la evaluación de actividades de la privacidad de una organización y la mitigación de riesgos. Cada programa nuevo pasa por el PIA para identificar los riesgos, los propósitos son descripción de los procedimientos y proporcionar catálogos de formularios automatizados.

Este sistema asigna funciones y responsabilidades específicas para reducir los riesgos asociados. El proceso parte de la metodología que parte de los principios de Privacidad por Diseño, esencialmente se utiliza el proceso de evaluación CRUDD que es consentimiento, retención, uso, divulgación y destrucción, existiendo un flujo de este proceso.

Afirma que, es muy importante la Oficina Institucional de Privacidad – EPO que gestiona los temas relacionados, así mismo como los artefactos de la PIA. Finalmente, en este anexo el seguimiento, el monitoreo y el reporte en donde “los PIA que dan como resultado una calificación de sensibilidad alta o media-alta y tienen hallazgos que requieren una remediación obligatoria necesitan tener un seguimiento para garantizar que los riesgos de privacidad identificados se hayan mitigado adecuadamente”. 6.

Procedimiento de Gestión de Incidentes y Violaciones de la Privacidad: Establece los responsables, lineamientos y actividades específicas para la gestión oportuna y adecuada de incidentes de privacidad. (Anexo No. 14). El anexo 14 hace referencia a los PROCEDIMIENTOS DE GESTIÓN DE INCIDENTES Y VIOLACIONES DE LA PRIVACIDAD DE SCOTIABANK y, expone, en términos amplios, lo siguiente: Los procedimientos de gestión de incidentes y violaciones de la privacidad de Scotiabank.

Así mismo, detalla los pasos que se deben seguir para enfrentar los incidentes y la violación de la privacidad. Igualmente, señala que, los procesos de incidentes y violaciones siguen los siguientes pasos: detectar, contener, evaluar, determinar, activar, prevenir, notificar, aprender y cerrar; determina los primeros tres encargados de la privacidad y relaciona cuestiones del proceso que corresponden al resto de EPO y Equipo.

Entre la clasificación de información personal se encuentra el nivel de confidencialidad, clasificación y la descripción. 7. Inventario de bases de datos de información personal: Detalla las características de la información personal tratada por el Banco, las directrices que gobiernan el tratamiento de la información y las medidas de seguridad asociadas.

Como resultado del inventario de información, se registran y actualizan las bases de datos de la organización en el Registro Nacional de Bases de Datos. 8. Reportes mensuales a la alta administración sobre el nivel de madurez y seguimiento en la implementación de las medidas del programa, gestión realizada e hitos importantes que deben ser impulsados por la alta administración. Frente a los denominados “inventario de bases de datos de información personal” y “reportes mensuales a la alta administración”, se tiene que, el proceso narrativo descriptivo realizado por el Recurrente, no se encuentra cimentado en piezas probatorias que acrediten lo expuesto; situación que limita el ejercicio de esta Dirección a la lectura de lo descrito, sin que sea dable trascender más allá. Ahora bien, con el propósito de validar el funcionamiento de estos elementos y medidas en el ejercicio práctico, se procede a realizar un análisis pormenorizado del manejo que le dio el “Por la cual se resuelve un recurso de reposición” HOJA N 14, BANCO COLPATRIA a la solicitud presentada por el señor XXXXX XXXXX XXXXX XXXXXXX.

Este análisis se desarrolla de manera cronológica, en aras de propender por la trazabilidad de la información y, a la vez, con el propósito de contrastarlo con las afirmaciones del Recurrente en torno al procedimiento con el que cuenta el Banco para la evaluación del impacto a la privacidad (PIA). 1. El Banco Colpatria Red Multibanca Colpatria S.A. (hoy Scotiabank Colpatria S.A.) y la Empresa de Telecomunicaciones de Bogotá S.A. ESP suscribieron “CONVENIO SOBRE MARCA COMPARTIDA” el día 17 de septiembre de 2008.4 2.

El señor XXXXX XXXXX XXXXX XXXXXXX suscribió contrato de prestación de servicios de internet y telefonía fija con la Empresa de Telecomunicaciones de Bogotá S.A. ESP, el día 29 de julio de 20165. En el cual señaló, “Por medio de la presente NO autorizo a la EMPRESA DE TELECOMUNICACIONES DE BOGOTÁ S.A. ESP, a utilizar mis datos personales con la finalidad de: (i) Comunicar eficientemente información propia de ETB, así como de nuestras filiales y/o aliados comerciales, sobre productos, servicios, ofertas, (ii) informar sobre nuevos productos o servicios que estén relacionados con el o los servicios adquiridos, (iii) Evaluar la calidad de el (los) servicios,(iv) Informar sobre cambios de nuestros productos o servicios, (v) Participar en programas de lealtad con beneficios, (vi) Realizar estudios de mercado sobre hábitos de consumo, (vii) Transferir y transmitir datos a terceros con vínculos comerciales con ETB, (viii) Las demás finalidades (…), cuyo extracto se presenta a continuación: 3.

En virtud del “CONVENIO SOBRE MARCA COMPARTIDA” y a pesar de NO contar con la autorización requerida, la EMPRESA DE TELECOMUNICACIONES DE BOGOTÁ S.A. ESP compartió los datos personales del señor XXXXX XXXXX XXXXX XXXXXXX con el Banco Colpatria Red Multibanca Colpatria S.A. (hoy Scotiabank Colpatria S.A.), el día 06 de septiembre de 2017. 4.

En este punto, vale la pena resaltar que, ni la EMPRESA DE TELECOMUNICACIONES DE BOGOTÁ S.A. ESP ni el BANCO COLPATRIA desplegaron procedimiento alguno tendiente a corroborar si contaban o no con la autorización para el tratamiento de los datos personales del señor XXXXX XXXXXXX. Aun así, el BANCO COLPATRIA procedió con el envío de múltiples mensajes a su celular con el fin de ofrecer sus productos.

Al respecto, conviene resaltar que la afirmación del Recurrente, según la cual, “Igualmente el Plan de Protección de Datos del BANCO COLPATRIA tiene un procedimiento para la evaluación del impacto a la privacidad (PIA), el cual es una evaluación del CRUDD (consentimiento, retención, uso, divulgación, destrucción) en lo que se refiere a la información de identificación personal.

En el documento se establece un flujo del proceso del tratamiento de datos personales, comenzando con el consentimiento como pilar fundamental para la correcta recolección del dato personal y finalizando con la destrucción de dato, ya sea por solicitud del titular o por el cumplimiento de las finalidades autorizadas por el titular. Se diseñó por parte del BANCO COLPATRIA un proceso de seguimiento, monitoreo y reporte anual de todo el proceso de tratamiento de datos personales con el fin de mitigar la ocurrencia de incidentes o eventos, o bien, mitigar el impacto de la ocurrencia de un evento.”, difiere abiertamente con la secuencia de hechos advertidos y acreditados dentro de la presente actuación administrativa. 5.

Ante esta situación, el señor XXXXX XXXXXXX elevó solicitud en febrero de 2018, en primera instancia ante el Banco y, posteriormente, ante la Defensoría del Consumidor Financiero. 6. Después del cruce de una serie de comunicaciones entre los tres intervinientes: el señor XXXXX XXXXX XXXXX XXXXXXX, el Banco y la Defensoría del Consumidor Financiero, el día 21 de marzo de 2018, el BANCO COLPATRIA envía respuesta a la Defensoría y al Titular de la información. Anexo que acompaña la actuación radicada el 26 de julio de 2019, bajo el número 19-109316- -00006-0000.

Ibidem HOJA N 15, “Por la cual se resuelve un recurso de reposición” 7. Como puede observarse, el BANCO COLPATRIA afirma en las respuestas que: i) “Nuestra entidad realizó actualización en la base de datos, a fin de que no se envíe comunicaciones y o llamadas a su número telefónico personal ofreciendo productos, en especial con la marca compartida de ETB.” ii) “Aclaramos que la posición de nuestra entidad se encuentra debidamente fundamentada y sustentada en los argumentos y documentos soportes a este caso.

Igualmente, en las alegaciones de conclusión, el BANCO COLPATRIA reitera que, “Al no obtener respuesta por parte de la ETB, el Banco decidió suprimir el dato, para no afectar los derechos del titular. Es por ello por lo que el 21 de marzo de 2018 el Banco dio respuesta al titular del dato y señaló que se procedió con la eliminación del dato”. 8.

El día 22 de marzo de 2018, el señor XXXXX XXXXX XXXXX X se manifiesta ante la respuesta emitida por el BANCO COLPATRIA el día inmediatamente anterior. 9. El día 16 de abril, el señor XXXXX XXXXX XXXXX XXXXXXX presentó denuncia ante esta Superintendencia, la cual se contrajo a los siguientes hechos: “Colpatria me envia (sic) mensajes de texto y hace llamadas a mi celular ofreciendo sus productos a pesar de mis constantes requerimientos para que no lo hagan.

Le he solicitado a Colpatria que me ensene (sic) la autorizacion (sic) de mi parte para enviarme este tipo de informacion (sic). Hasta la fecha no he recibido respuesta. Se hizo reclamación ante la Defensoria (sic) del Consumidor Financiero con numero (sic) 92759 5723900. Colpatria da respuesta el 22 (sic) Marzo (sic) a traves (sic) de correo enviado por el Señor Juan Miguel Rodriguez (sic) Martinez (sic) (Director Entes de Control) en done (sic) aseguran haberme eliminado de sus Bases de datos para no enviarme mas información; sin embargo (sic) lo (sic) ultimos (sic) mensajes (4) los recibi (sic) hoy 16 de abril de 2018.” 10.

Siguiendo con el orden cronológico propuesto, reposan en el expediente comunicaciones internas del BANCO COLPATRIA, surtidas a través del servicio de correo electrónico los días 06, 10, 11 y 16 de julio de 2018; las cuales contradicen la afirmación reiterada por el Banco a lo largo del proceso administrativo, en torno a la presunta eliminación de los datos personales del denunciante, efectuada el día 21 de marzo de 2018.

En este punto, resulta preciso advertir, que, los elementos recogidos en los numerales 5 al 10, desvirtúan los argumentos planteados por el Recurrente, al afirmar, que, “Es decir que gracias a las directrices fijadas por el BANCO COLPATRIA se logró detectar el incidente y luego se determinaron las acciones pertinentes, según los parámetros establecidos dentro del Programa de Protección de Datos Personales, para notificar internamente el mismo y luego tomar las acciones adecuadas para evitar su repetición. Lo que demuestra la real y efectiva aplicación del Programa”.

Estas afirmaciones no son del recibo de esta Dirección, toda vez que, tal y como quedó demostrado en el proceso adelantado por esta Superintendencia, el BANCO COLPATRIA no tenía conocimiento acerca del tratamiento ilegal que le estaba dando a los datos personales del denunciante; motivo por el cual, debieron mediar múltiples solicitudes, ante diferentes instancias, por parte del Titular de la información, para que el Banco: i) conociera del caso y ii) empezara a tomar, aunque de forma tardía, ciertas acciones tendientes a corregir las consecuencias derivadas de su actuar negligente. 11.

Indica la sociedad investigada que, “Con base en la cadena de correos intercambiados entre SCOTIABANK COLPATRIA y la ETB, es posible establecer una trazabilidad de la gestión diligente de SCOTIABANK COLPATRIA tendiente a obtener la autorización escrita de XXXXX XXXXX para el tratamiento de sus datos personales por la ETB y sus aliados comerciales, pues fue la ETB quien recolectó el dato personal, y obtuvo y conservó el soporte de la autorización para su tratamiento para la promoción de fines comerciales con sus aliados como SCOTIABANK COLPATRIA.

Al respecto, vale la pena resaltar que, la secuencia de los correos electrónicos en comento, contrario a lo afirmado por la sociedad investigada, denotan un grado muy alto de negligencia por “Por la cual se resuelve un recurso de reposición” HOJA N 16, parte del BANCO COLPATRIA, máxime cuando la misma refiere de manera detallada una serie de procesos y procedimientos contemplados de manera teórica y en abstracto, sin que medie evaluación o verificación alguna por parte de la sociedad investigada en el ejercicio práctico.

Afirma el BANCO COLPATRIA en los alegatos de conclusión que, “Así, es posible corroborar que, desde marzo de 2018 hasta abril de 2019, SCOTIABANKCOLPATRIA requirió a la ETB para obtener la autorización otorgada por XXXXX XXXXXX para el tratamiento de sus datos personales, cuya respuesta tardía hizo imposible para SCOTIABANK COLPATRIA remitir en tiempo el soporte de la autorización para el tratamiento de los datos personales del señor XXXXX XXXXX solicitada por el titular y por la Superintendencia de Industria y Comercio en el requerimiento de información, pues solo hasta el dos de mayo de 2019 el soporte de la autorización fue entregado a ETB.” Frente a este argumento, se reitera una vez más, que el análisis del material probatorio obrante en el expediente, permite evidenciar, sin que medie manto de duda alguno, que, en el caso bajo examen, no fueron precisamente los procedimientos implementados por el BANCO COLPATRIA los que generaron la alerta respecto del tratamiento ilegal de los datos del Titular, sino las múltiples solicitudes elevadas por el denunciante, lo que a su turno, fractura las bases de los cimientos que soportan lo expuesto por el Recurrente.

Sin embargo, observa este Despacho que, el BANCO COLPATRIA activa sus alarmas no en virtud del trámite diligente, coordinado y efectivo de la solicitud del señor XXXXX XXXXXXX, sino como medida de urgencia ante los requerimientos de la Defensoría del Consumidor Financiero y la la gestión del BANCO COLPATRIA en materia de datos personales, un desajuste de todo su andamiaje en el ejercicio práctico y en consecuencia la vulneración de las normas contenidas en la ley estatutaria.

Como resultado de ello, esta Dirección le impartió una orden administrativa al Banco Colpatria Multibanca Colpatria S.A, mediante la Resolución 4968 del 28 de febrero de 2019, para que adelante el procedimiento pertinente para que se suprima la información que tenga en su base de datos del señor XXXXX XXXXX XXXXX XXXXXXX, identificado con cédula de ciudadanía XXXXXXXXX.

El Banco Colpatria Multibanca Colpatria S.A acreditó el cumplimiento de la orden administrativa el día 30 de abril de 2019, mediante documento radicado bajo el número 18-121344- -00015-0000, que, entre otras, cosas, contiene las siguientes capturas de pantalla: “Por la cual se resuelve un recurso de reposición” HOJA N 17, “Por la cual se resuelve un recurso de reposición” HOJA N 18, En sincronía con lo expuesto, se recuerda que la regulación colombiana le impone a la sociedad investigada, la responsabilidad de garantizar la eficacia de los derechos del Titular del dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad.

Por el contrario, debe ser real y demostrable. Al respecto, la Corte Constitucional señaló mediante Sentencia T-223 de 2003, que: “En concepto de esta Corporación existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos que contengan información personal o socialmente relevante. Este deber se deriva de la prohibición genérica, dirigida a toda persona, sea natural o jurídica, de impedir sin justa causa el goce efectivo de los derechos fundamentales o de tornar imposible dicho goce.” Por lo anterior, esta Superintendencia ha sido enfática en señalar que las disposiciones contenidas en el Capítulo III del Decreto 1377 del 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015, reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada, así como los artículos 2.2-2.25-6-1 y siguientes del Decreto 1074 de 2015, en relación con la adopción de políticas y procedimientos efectivos para el adecuado cumplimiento de la Ley 1581 de 2012 implican que concurran una serie de presupuestos que permitan evidenciar que los procedimientos implementados, en la práctica sean reales y efectivos.

Con el propósito de dar orientaciones sobre la materia, esta Superintendencia expidió el 28 de mayo de 2015 la “Guía para implementación del principio de responsabilidad demostrada (accountability). El término “accountability”, en sus diferentes acepciones, ha sido entendido en materia de protección de datos personales como el modo en que una organización debe cumplir, en el ejercicio práctico, las regulaciones sobre el tema, y la manera en que debe acreditar que lo puesto en práctica es útil, pertinente y eficiente.

El principio de responsabilidad demostrada demanda implementar acciones de diversa naturaleza para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamientos de datos personales, los cuales ya fueron ilustrados por esta Dirección de manera amplia y suficiente en la parte motiva del acto administrativo recurrido.

Sin embargo, se reiterarán algunos aspectos, en tanto el Recurrente insiste en la presunta implementación material del programa integral de gestión y protección de datos personales por el BANCO COLPATRIA, pese a “Por la cual se resuelve un recurso de reposición” HOJA N 19, que todo el material probatorio obrante en el expediente, conduce a que la sociedad investigada no adoptó las medidas apropiadas, efectivas y verificables que permitan, por un lado, evidenciar un actuar diligente en el caso bajo examen y, por el otro, den cuenta de la observancia y puesta en marcha de los preceptos normativos en materia de protección de datos personales.

El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones por parte de las organizaciones para garantizar el debido tratamiento de los datos personales. El éxito del mismo dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido cualquier esfuerzo será insuficiente para diseñar, lleva a cabo, revisar, actualizar y/o evaluar los programas de gestión de datos.

Adicionalmente, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas, Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006, la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo (sic) redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento indebido de sus datos personales”. 6 El principio de responsabilidad demostrada, busca que los mandatos constitucionales y legales sobre tratamiento de datos personales sean una realidad verificable y redunden en beneficio de la protección y garantía de los derechos de las personas.

Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del tratamiento de la información. De esta manera, por iniciativa propia, adopten en la teoría y materialicen en la práctica, medidas estratégicas idóneas y suficientes, que, sometidas a procesos de evaluación permanente y mejoramiento constante, permitan garantizar: (i) los derechos de los titulares de los datos personales y (ii) una gestión respetuosa de los derechos humanos. Aunque no es la instancia para explicar nuevamente los aspectos mencionados en la Resolución 10720 del 11 de marzo de 2020 en referencia a este principio, es destacable que este se articula con el concepto de “compliance”, debido a que hace referencia a la autogestión o “conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos.” 7 Precisado lo anterior, retomando el caso objeto de análisis, el BANCO COLPATRIA asegura, de manera reiterada, tener implementado un Programa Integral de gestión de Datos Personales, a través del cual garantiza una debida diligencia en el cumplimiento de las normas que rigen la protección de datos.

Postura que, no solo no comparte esta Dirección, sino que se aleja mucho de lo acreditado en la presente actuación administrativa. Ahora bien, en referencia a la implementación material del programa integral de gestión y protección de datos personales por el Banco Colpatria, señala el recurrente que, “Tal como se evidencia en el caso de la señora xxxxxxx xxxxxxxx, quien el 17 de septiembre de 2018 le solicitó al banco eliminar sus datos y en consecuencia no recibir información sobre promociones.

La referida solicitud fue resuelta, oportunamente, por el BANCO COLPATRIA y se procedió a suprimir toda la información que se tenía del titular, tal como se evidencia en las capturas de pantalla del Sistema de Gestión de Quejas y Reclamos que se adjuntan”. Frente al caso que presenta el Recurrente a título de ejemplo, encuentra esta Dirección imperioso recordar que, el artículo 77 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo señala, que: Cfr. Red Iberoamericana de Protección de Datos.

Grupo de Trabajo Temporal sobre Autorregulación y Protección de Datos Personales, del 05 de mayo de 2006. Visto en: World Comñiance Association (WCA). http://www.worldcomñianceassociation.com. “Por la cual se resuelve un recurso de reposición” HOJA N 20, “ARTÍCULO 77. REQUISITOS. Por regla general los recursos se interpondrán por escrito que no requiere de presentación personal si quien lo presenta ha sido reconocido en la actuación. Igualmente, podrán presentarse por medios electrónicos.

Los recursos deberán reunir, además, los siguientes requisitos: 1. Interponerse dentro del plazo legal, por el interesado o su representante o apoderado debidamente constituido. 2. Sustentarse con expresión concreta de los motivos de inconformidad. 3. Solicitar y aportar las pruebas que se pretende hacer valer. 4. Indicar el nombre y la dirección del recurrente, así como la dirección electrónica si desea ser notificado por este medio.

Sólo los abogados en ejercicio podrán ser apoderados. Si el recurrente obra como agente oficioso, deberá acreditar la calidad de abogado en ejercicio, y prestar la caución que se le señale para garantizar que la persona por quien obra ratificará su actuación dentro del término de dos (2) meses. Si no hay ratificación se hará efectiva la caución y se archivará el expediente.

Para el trámite del recurso el recurrente no está en la obligación de pagar la suma que el acto recurrido le exija. Con todo, podrá pagar lo que reconoce deber.” Como puede observarse, el numeral segundo del artículo en cita, establece que los recursos que se interpongan deben ser sustentados y en ellos deben ser expresados los motivos de inconformidad; es claro para esta Superintendencia, que el caso a través del cual el Recurrente pretende ejemplificar el cumplimiento de los deberes que le asisten a la sociedad investigada, contrario a lo expuesto, no obedece a una razón de hecho o de derecho que justifique por qué esta autoridad debe reponer la decisión adoptada mediante la Resolución 10720 del 11 de marzo de 2020, esto en razón de que el ejemplo, además de no realizar aporte alguno al caso bajo examen, solo da cuenta de unos hechos posteriores, que en nada inciden en el contenido del acto administrativo recurrido.

Por lo anterior, es importante manifestarle al Recurrente que, el análisis realizado por esta Dirección, se limitará exclusivamente frente aquellas razones de hecho o de derecho por las cuales el Recurrente estima que decisión proferida es contraria a derecho y que a su vez dichos argumentos guarden relación con el objeto de discusión, ya que tal y como lo ha señalado el Alto Tribunal de lo Contencioso Administrativo: “Es menester que la sustentación se efectúe de la forma adecuada, es decir, que no solamente deben manifestarse los aspectos que se consideran lesivos al derecho o interés en discusión, sino además los motivos de inconformidad en concreto respecto a la decisión del a quo (…).

Lo anterior demanda desde luego un grado de congruencia inequívoco entre el fallo recurrido y el objeto del recurso (…)”8 Analizadas las piezas probatorias y los argumentos de hecho y de derecho mediante los cuales el Recurrente soporta la implementación material del programa integral de gestión y protección de datos personales por el BANCO COLPATRIA, encuentra este Despacho que, las mismas no desvirtúan los argumentos expuestos por esta Dirección en la parte motiva de la Resolución 10720 del 11 de marzo de 2020, por el contrario, confirman el actuar negligente del BANCO COLPATRIA y la desconexión que existe entre el andamiaje documental y humano con el que cuenta en materia de protección de datos y su aplicación y desempeño en el ejercicio práctico. 6.3 De la proscripción de la responsabilidad objetiva en los procesos administrativos sancionatorios Manifiesta el Recurrente que “La responsabilidad objetiva está proscrita en materia administrativosancionatorio, por lo que los argumentos y las pruebas presentadas en los descargos dentro del proceso, debieron ser valoradas por la Superintendencia de Industria y Comercio”.

Contrario a lo afirmado por el Recurrente, este Despacho dedica un acápite de la Resolución 10720 del 11 de marzo de 2020 a los hechos, otro a la adecuación típica, seguido de una valoración de los argumentos y piezas probatorias que permitan el arribo a unas conclusiones, para posteriormente proceder a imponer una sanción pecuniaria e impartir una orden administrativa. 8 Consejo de Estado.

Radicación número: 05001-23-33-000-2016-00693-01(1623-18) del 30 de enero de 2020. C.P. Dr. William Hernández Gómez. “Por la cual se resuelve un recurso de reposición” HOJA N 21, De manera que, esta Dirección procedió de conformidad, con lo cual no se transgredió el Ordenamiento Jurídico, sino todo lo contrario, se estaba asegurando la materialización efectiva del debido proceso, particularmente en cuanto a que fueron aplicadas las leyes preexistentes al acto recurrido y adelantado el proceso con la observancia plena de sus formas propias y principios, específicamente, los establecidos en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, en referencia al agotamiento de cada una de las etapas previstas para el procedimiento administrativo sancionatorio, la oportunidad de que la sociedad investigada ejerciera su derecho de defensa y contradicción, y, en consecuencia, la emisión de una decisión ajustada a derecho.

En virtud de lo expuesto, desestima esta Dirección los argumentos presentados por el Recurrente en el aparte denominado “PROSCRIPCIÓN DE LA RESPONSABILIDAD OBJETIVA EN LOS PROCESOS ADMINISTRATIVOS SANCIONATORIOS”. 6.4 De la presunta violación del debido proceso del Banco Colpatria al aplicar una ley diferente de la Ley 1581 de 2012, para graduar la sanción Señala el Recurrente que, “La Dirección a lo largo de la Resolución 10720 del 11 de marzo de 2020 señala que la facultad sancionatoria de la Superintendencia de Industria y Comercio tiene como fuente la Ley 1581 de 2012, en especial, su artículo 23.

En el mismo sentido, indica que los criterios para graduar las sanciones en ejercicio de la potestad sancionatoria que le fue conferida por la Ley 1581 de 2012, se encuentran mencionados en el artículo 24 de la misma ley. (…) Sin embargo, de manera posterior, al momento de aplicar los criterios de graduación de la sanción, la Dirección se basa en los criterios establecidos en el artículo 19 de la Ley 1266 de 2008 al señalar que “[…] Para la tasación de la multa no serán aplicados los criterios de graduación agravantes de la sanción señalados en los literales b), c), d) y e) del artículo 19 de la Ley 1266 de 2008 debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia, (iii) no hubo reincidencia en la comisión de la infracción y, iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.” Al respecto, es menester reconocer la falta formal señalada por el Recurrente, ya que, debido a un error de transcripción durante la sustanciación del acto administrativo, se hizo referencia al artículo 19 de la Ley 1266 de 2008, cuando lo que correspondía era explicitar lo siguiente: Para la tasación de la multa no serán aplicados los criterios de graduación agravantes de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

Tampoco se tendrá en cuenta el criterio de atenuación señalado en el literal f) por cuanto, la investigada no admitió la comisión de la infracción de los hechos materia de investigación. Lo anterior, en consonancia con lo preceptuado en el artículo 45 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, el cual señala lo siguiente: “En cualquier tiempo, de oficio o a petición de parte, se podrán corregir los errores simplemente formales contenidos en los actos administrativos, ya sean aritméticos, de digitación, de transcripción o de omisión de palabras.

En ningún caso la corrección dará lugar a cambios en el sentido material de la decisión, ni revivirá los términos legales para demandar el acto. Realizada la corrección, esta deberá ser notificada o comunicada a todos los interesados, según correspond”a. En los términos expuestos en líneas precedentes, se procederá a corregir el error meramente formal expuesto por el recurrente, en relación con el señalamiento de una ley diferente de la Ley 1581 de 2012, para graduar la sanción en la Resolución 10720 del 11 de marzo de 2020.

HOJA N 22, “Por la cual se resuelve un recurso de reposición” 6.5 De la presunta indebida graduación de la sanción En lo que respecta al principio de proporcionalidad en materia sancionatoria administrativa, ciertamente este principio exige que la sanción correspondiente tenga fundamento legal, que la misma sea aplicada sin afectar irrazonablemente los intereses del investigado o que esa afectación se presente en grado mínimo, con el objeto de que se le proteja de abusos de poder o discrecionalidades de la Administración. Así mismo, implica que tanto la falta descrita como la sanción correspondiente a la misma, resulten adecuadas a los principios que gobiernan la función pública.

Es sobre esas bases que esta Superintendencia tomó en consideración los criterios señalados por el artículo 24 de la ley 1581 de 2012 para tasar el monto de la sanción, veamos: “10.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la ley 1581 de 2012” (Negrilla fuera del texto original) Así pues, tal como fue transcrito, al demostrarse a lo largo de la presente investigación de manera inequívoca quedó demostrado que el BANCO COLPATRIA, en su calidad de Responsable del tratamiento actuó negligentemente al almacenar y usar los datos personales del señor XXXXX XXXXX XXXXX XXXXXXX, sin contar con su autorización previa, expresa e informada para el efecto; desconociendo así el precepto normativo contenido en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 de la misma Ley, así como con el artículo 9 ejúsdem y las disposiciones del artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015.

De otro lado, la sociedad investigada desconoció el precepto normativo consagrado en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, al no actuar con diligencia y proceder con la eliminación de todos los datos personales del señor XXXXX XXXXX XXXXX XXXXXXX.

Abonado a lo anterior, este Despacho le recuerda al recurrente lo previsto en artículo 24 de la ley 1581 de 2012 que establece exactamente lo siguiente: “Artículo 24. Criterios para graduar las sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: (…)” (Negrilla fuera de texto) Por lo transcrito, se tiene que la ley establece que los criterios relacionados en este artículo se tendrán en cuenta solo en cuanto los mismos resulten aplicables, es decir, en los casos en donde el investigado concurra en ellos, aclarando que los criterios dispuestos en los literales b), c), d) y e) del referido artículo son de carácter negativo, es decir, se refieren a conductas contrarias a la ley que agravan consecuentemente la sanción original.

Lo anterior, en línea con lo expuesto por la Corte Constitucional en la sentencia C-748 de 2011, en relación a la aplicación de estos criterios, al señalar, que: “Este precepto se ajusta a la Constitución en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En este sentido, el precepto analizado consagra en los primeros cinco literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.” De acuerdo con lo expuesto, al evidenciar que para el presente caso la sociedad investigada no incurrió en ninguno de los literales b), c), d) y e), esta Superintendencia no los tuvo en cuenta a la hora de determinar la sanción (estos criterios fueron analizados en el numeral 10.1.1 de la Resolución recurrida), ello a favor del recurrente.

Frente a los argumentos expuestos por el Recurrente en torno a la aplicación del criterio de atenuación contenido en el literal f) del artículo el cita, al afirmar que, “Sin embargo, se equivoca la “Por la cual se resuelve un recurso de reposición” HOJA N 23, Dirección al señalar que la sociedad sancionada no admitió la comisión de la infracción que es materia de investigación porque en el escrito de descargos radicado el 26 de julio de 2019 en relación con el primer cargo, se señaló lo siguiente: ‘‘iv) El Banco desplegó un comportamiento razonable dirigido a obtener en tiempo el soporte de la autorización para el tratamiento de los datos personales requerida por el titular y por la Superintendencia de Industria y Comercio, que a pesar de existir no fue remitida de manera oportuna por la ETB, deviniendo su obtención oportuna en imposible, y encontrándose que la autorización del titular contenía una exclusión para la finalidad requerida por la ETB y el Banco’’ (Subraya y negrilla por fuera del texto original), considera esta Dirección que no se aplicará toda vez que la investigada limitó su ejercicio a la narración de unos hechos que se encuentran suficientemente acreditados en el expediente, pero no reconoció de manera expresa la comisión de la infracción al deber contemplado en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 de la misma Ley, así como con el artículo 9 ejúsdem y las disposiciones del artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015.

Así, una vez estudiados los principios de proporcionalidad y razonabilidad y el caso particular de la sociedad investigada, se pudo determinar una sanción ajustada a derecho, donde se tuvieron en cuenta la infracciones cometidas, por una lado, el desconocimiento de lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 de la misma Ley, así como con el artículo 9 ejúsdem y las disposiciones del artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015 y, por el otro, el desconocimiento de lo dispuesto en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015; así como las sanciones dispuestas en esta ley.

Sobre este punto, la Corte Constitucional en la sentencia C-699/08, precisó: “Para el ejercicio de la potestad sancionatoria a cargo de la administración se requiere: (i) una ley previa que determine los supuestos que dan lugar a la sanción, así como la definición de los destinatarios de la misma, -sin que necesariamente estén desarrollados todos los elementos del tipo sancionatorio-, ya que es válida la habilitación al ejecutivo con las limitaciones que la propia ley impone;

(ii) que exista proporcionalidad entre la conducta o hecho y la sanción prevista, de tal forma que se asegure tanto al administrado como al funcionario competente, un marco de referencia que permita la determinación de la sanción en el caso concreto, y (iii) que el procedimiento administrativo se desarrolle conforme a la normatividad existente, en procura de garantizar el debido proceso. 9 Los requisitos citados fueron analizados al momento de imponer la sanción, aclarando que esta Dirección persigue fines disuasorios y no confiscatorios, ya que no busca la liquidación de una empresa a causa de las decisiones emitidas por esta superintendencia, motivo por el cual, se tiene en cuenta la situación financiera, el tamaño de la empresa y las condiciones de tiempo modo y lugar en las que se dieron los hechos materia de investigación, ello bajo los parámetros dispuestos en el artículo 24 de la ley 1581 de 2012.

En este orden de ideas, es válido afirmar que esta Dirección dio plena aplicación al principio de legalidad, tipicidad y demás principios dispuestos en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo, en lo que respecta al principio de legalidad y tipicidad, la Corte Constitucional en su sentencia C-412/15 plantea: “El principio de legalidad exige que dentro del procedimiento administrativo sancionatorio la falta o conducta reprochable se encuentre tipificada en la norma -lex scripta- con anterioridad a los hechos materia de la investigación-lex previa.

En materia de derecho sancionatorio el principio de legalidad comprende una doble garantía, a saber: material, que se refiere a la predeterminación normativa de las conductas infractoras y las sanciones; y, formal, relacionada con la exigencia de que estas deben estar contenidas en una norma con rango de ley, la cual podrá hacer remisión a un reglamento, siempre y cuando en la ley queden determinados los elementos estructurales de la conducta antijurídica.

Esto se desprende del contenido dispositivo del inciso 2° del artículo 29 de la Constitución Política que establece el principio de legalidad, al disponer que “nadie podrá ser juzgado sino conforme a las leyes preexistentes al acto que se imputa (…)”, es decir, que no existe pena o sanción si no hay ley que determine la legalidad de dicha actuación, ya sea por acción u omisión…10” “El principio de tipicidad como desarrollo del de legalidad hace referencia a la obligación que tiene el legislador de definir con claridad y especificidad el acto, hecho u omisión constitutivo de la conducta reprochada por el ordenamiento, de manera que le permita a las personas a quienes van dirigidas C-699/08.

Corte Constitucional. Magistrado ponente. Dr. Alberto Rojas Ríos. Ibidem “Por la cual se resuelve un recurso de reposición” HOJA N 24, las normas conocer con anterioridad a la comisión de la misma las implicaciones que acarrea su transgresión. Conviene precisar que si bien es cierto que en materia sancionatoria la ley puede hacer remisiones a los reglamentos, -con el fin de complementar el tipo allí descrito-, también lo es que la remisión se encuentra limitada al núcleo esencial de lo que se ha estipulado en la ley.

De allí que la tipificación para la descripción de la conducta y la sanción, corresponde por mandato constitucional al legislador, mientras que la aplicación de la misma para subsumir el hecho antijurídico al tipo descrito, corresponde a la administración…” Por su parte, respecto del principio de buena fe, es palmario que el mismo se ha garantizado dentro de la presente actuación, pues fue en virtud de este y de los demás establecidos en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo que se agotaron cada una de las etapas previstas para el procedimiento administrativo sancionatorio, emitiéndose una decisión ajustada a derecho, en donde se le dio la oportunidad a la investigada de ejercer su derecho de defensa y contradicción. Así pues, esta Superintendencia una vez valoró los criterios mencionados, teniendo un margen hasta de dos mil (2.000) salarios, impuso la suma de TRESCIENTOS CINCUENTA Y SEIS MILLONES SETENTA MIL PESOS M/cte ($356.070.00), equivalentes a 10.000 DIEZ MIL UVT (Unidades de Valor Tributario).

Artículo 23. Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional a favor de la Superintendencia de Industria y Comercio hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó. b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar. c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio. d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.

Parágrafo. Las sanciones indicadas en el presente artículo solo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.

(Negrilla fuera de texto) En suma, la imposición de la sanción se dio al comprobar la infracción cometida a la normatividad vigente y el impacto que tiene dicha infracción para la protección de los datos personales del titular. Así las cosas, la proporcionalidad de la sanción se mantiene en el sentido de lo que fue acreditado en la primera instancia y lo que se evidencia con las pruebas aportadas en el trámite del recurso interpuesto, y en ese orden se confirmara todo aquello que no sea objeto de modificación, manteniéndose así la proporcionalidad de la sanción inicialmente calculada. 6.6 Del término otorgado por esta Dirección para el cumplimiento de las órdenes administrativas impartidas Respecto al término otorgado por esta Dirección para el cumplimiento de las órdenes administrativas impartidas, manifiesta el Recurrente que: “En la Resolución 10720 de 2020 la Dirección impartió dos órdenes administrativas al BANCO COLPATRIA consistentes en: (i) adoptar e implementar un procedimiento interno con el fin de verificar, previo al tratamiento de los datos administrados, si los datos personales compartidos por terceros han sido autorizados por sus respectivos titulares de manera previa, expresa e informada, y que se cuente con la constancia de dicha autorización y (ii) realizar una auditoría externa a efectos de establecer si la transferencia de datos efectuada del convenio suscrito con la ETB cuenta con la autorización previa, expresa e informada de los titulares cuya información le fue entregada al BANCO COLPATRIA.

Para tal efecto, la Dirección señaló que las órdenes deberían ser acatadas dentro del término de 30 días hábiles siguientes a la ejecutoria del acto administrativo, debiendo acreditar el BANCO COLPATRIA ante la siguientes a la expiración del plazo para su acatamiento, remitiendo una certificación de cumplimiento de las “Por la cual se resuelve un recurso de reposición” HOJA N 25, órdenes impartidas emitida por un auditor interno o externo con conocimiento o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la sociedad.

En este punto se debe señalar que el plazo para acatar y acreditar el cumplimiento de las órdenes administrativas impartidas por la Dirección se torna insuficiente y desconoce el plazo razonable que su cumplimiento a satisfacción demanda, por las siguientes razones: En el primer caso, la orden de adoptar e implementar un procedimiento interno con el fin de verificar si los datos personales compartidos por terceros han sido autorizados por sus titulares, y si se cuenta con dicha autorización, implica, entre otras cosas: (i) elaborar las bases teóricas del procedimiento interno de verificación de la autorización de los titulares de los datos personales compartidos por terceros;

(ii) armonizar dicho procedimiento con el Programa Integral de Gestión de Datos Personales que actualmente existe y es implementado por el BANCO COLPATRIA; (iii) analizar las especificidades de la información que normalmente es compartida por terceros para incluir factores diferenciales en el procedimiento; (iv) socializar el procedimiento interno y someterlo a aprobación de diferentes niveles del BANCO COLPATRIA; e, (v) implementar un plan de capacitación adicional y complementario a los ya existentes de los funcionarios del BANCO COLPATRIA sobre el procedimiento interno que se ordena crear.

En el segundo caso, la orden de realizar una auditoría externa para establecer si la transferencia de datos efectuada del convenio suscrito con la ETB cuenta con la autorización de los titulares cuya información le fue entregada al BANCO COLPATRIA, exige, entre otras cosas: (i) la elaboración de un plan de trabajo conjunto que se ajuste a la disponibilidad del auditor externo, de la ETB y del BANCO COLPATRIA;

(ii) el establecimiento de tiempos de entrega de la información al asesor externo, de análisis y evaluación de dicha información, y de elaboración de un informe de cumplimiento; y, (iii) la coordinación con actividades de terceros que no dependen exclusivamente de la gestión del BANCO COLPATRIA. Con base en lo anterior y considerando la magnitud del flujo de información que maneja el BANCO COLPATRIA y la necesidad de coordinar actividades con terceros para el cumplimiento de las órdenes administrativas, se solicita a la Dirección que amplíe el término para su acatamiento de 30 a 60 días hábiles con posterioridad a que el acto administrativo sancionatorio cobre ejecutoria.” Examinados las razones expuestas por el Recurrente, accede este Dirección a la solicitud realizada y en consecuencia amplía el término para el acatamiento de las dos órdenes administrativas a sesenta (60) días hábiles siguientes a la ejecutoria del presente acto administrativo.

Así mismo, reitera este Despacho la importancia de que el BANCO COLPATRIA adecúe sus procedimientos a fin de garantizar el cumplimiento de la ley y con ello materializar las acciones que garanticen el ejercicio de los derechos de los Titulares de la información. 6.7 Frente a las solicitudes realizadas por el recurrente En su escrito de recurso, el BANCO COLPATRIA señala: “Solicitud principal i. Que se realice una adecuada graduación de la sanción impuesta al BANCO COLPATRIA por la infracción del literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9, de la Ley 1581 de 2012, y las disposiciones del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; y, el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 de la Ley 1581 de 2012 y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015; en el sentido de reducir el monto de la multa de DIEZ MIL (10.000) UVT a CINCO MIL (UVT), teniendo en cuenta que se le dio mayor prevalencia al criterio de la información financiera del BANCO COLPATRIA sobre los demás criterios de graduación que resultan aplicables según el artículo 24 de la Ley 1581 de 2012.” Teniendo en cuenta en el numeral 6.5 de la presente resolución, esta Dirección no encuentra procedente conceder lo solicitado; razón por la cual, el monto de la sanción impuesta en el curso de la primera instancia, se mantendrá incólume, con fundamento en los elementos probatorios recaudados, en conjunto con los argumentos expuestos y las pruebas aportadas en el trámite del recurso interpuesto.

Por todo lo expuesto hasta acá, la Dirección de Investigación de Protección de Datos Personales procederá a confirmar todo aquello que no sea objeto de modificación, manteniéndose así el monto de la sanción inicialmente calculada. ii. “Que se amplíe el término para el acatamiento de las dos órdenes administrativas impartidas al BANCO COLPATRIA en el ARTÍCULO SEGUNDO del RESUELVE de la Resolución 10720 del 11 de marzo de 2020 de treinta (30) a sesenta (60) días hábiles con posterioridad a que el acto administrativo que impone la sanción cobre ejecutoria, teniendo en cuenta el tamaño de la empresa, la cantidad de información que se debe procesar y la auditoría externa que se debe realizar.” “Por la cual se resuelve un recurso de reposición” HOJA N 26, Teniendo en cuenta en el numeral 6.6 de la presente resolución, esta Dirección encuentra procedente conceder lo solicitado, y en consecuencia, amplía el término para el acatamiento de las dos órdenes administrativas a sesenta (60) días hábiles siguientes a la ejecutoria del presente acto administrativo. iii.

“Que se especifiquen y aclaren los soportes documentales o entregables que el Banco Colpatria debe remitir a la Superintendencia para acreditar el cumplimiento de las órdenes administrativas impartidas en el ARTÍCULO SEGUNDO del RESUELVE de la Resolución 10720 del 11 de marzo de 2020, y en qué medio.” Al respecto, es imperioso señalar que, la sociedad BANCO COLPATRIA podrá determinar discrecionalmente, conforme a sus procedimientos internos, el medio a través del cual materializar la orden impartida por esta Dirección. En tal sentido, deberá acreditar que de acuerdo con el caudal de información que administra y con su tamaño empresarial, implementó los procesos de verificación en los términos de la orden que se recurre.

“Solicitud primera subsidiaria: i. Que se reduzca el monto de la multa impuesta al BANCO COLPATRIA de SIETE MIL (7.000) UVT a TRES MIL (3.000) UVT, por la infracción del literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9, de la Ley 1581 de 2012, y las disposiciones del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, y se aplique el criterio de atenuación establecido en el literal f) del artículo 24 de la Ley 1581 de 2012, teniendo en cuenta que la sancionada aceptó la comisión de esta infracción en el escrito de descargos radicado el 26 de julio de 2019, es decir, antes de que la Dirección impusiera la sanción mediante la Resolución 10720 del 11 de marzo de 2020.” Teniendo en cuenta en el numeral 6.5 de la presente resolución, esta Dirección no encuentra procedente conceder lo solicitado; razón por la cual, la proporcionalidad de la sanción se mantiene en el valor inicialmente calculado, y en ese orden, se confirmará todo aquello que no sea objeto de modificación. ii.

“Que se amplíe el término para el acatamiento de las dos órdenes administrativas impartidas al BANCO COLPATRIA en el ARTÍCULO SEGUNDO del RESUELVE de la Resolución 10720 del 11 de marzo de 2020 de treinta (30) a cuarenta y cinco (45) días hábiles con posterioridad a que el acto administrativo que impone la sanción cobre ejecutoria, teniendo en cuenta el tamaño de la empresa, la cantidad de información que se debe procesar y la auditoría externa que se debe realizar.” Teniendo en cuenta que se accedió a la solicitud principal en referencia al término otorgado por esta Dirección para el cumplimiento de las órdenes administrativas impartidas por esta Dirección, no se hará referencia particular a esta pretensión. iii.

“Que se especifiquen y aclaren los soportes documentales o entregables que el BANCO COLPATRIA debe remitir a la Superintendencia para acreditar el cumplimiento de las órdenes administrativas impartidas en el ARTÍCULO SEGUNDO del RESUELVE de la Resolución 10720 del 11 de marzo de 2020, y en qué medio.” En relación con esta pretensión se reitera lo expresado en acápites anteriores, respecto de la especificación de los documentos o entregables a aportar para el acreditamiento de la orden.

“Solicitud segunda subsidiaria: En el evento en que la Dirección decida no reducir el monto de la multa impuesta como sanción al BANCO COLPATRIA, ni ampliar el término para acreditar el cumplimiento de las órdenes administrativas impartidas al BANCO COLPATRIA en el ARTÍCULO SEGUNDO del RESUELVE de la Resolución 10720 del 11 de marzo de 2020, solicito se conceda el recurso de apelación ante el Superintendente Delegado para la Protección de Datos Personales.” Esta Dirección concede el recurso de apelación interpuesto subsidiariamente por la investigada y, en consecuencia, traslada las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.

SÉPTIMO: Que analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho modificará parcialmente la sanción impuesta, y confirmará en sus demás partes la Resolución 10720 del 11 de marzo de 2020.

HOJA N 27, “Por la cual se resuelve un recurso de reposición” En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO PRIMERO: CORREGIR parcialmente el numeral 10.1.1 de la parte considerativa de la Resolución 10720 del 11 de marzo de 2020, por las razones expuestas en la parte motiva de este acto administrativo, el cual quedará así: 11.1.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley (…) Para la tasación de la multa no serán aplicados los criterios de graduación agravantes de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

Tampoco se tendrá en cuenta el criterio de atenuación señalado en el literal f) por cuanto, la investigada no admitió la comisión de la infracción de los hechos materia de investigación.

ARTÍCULO SEGUNDO: MODIFICAR parcialmente el artículo primero de la parte resolutiva de la Resolución 10720 del 11 de marzo de 2020, por las razones expuestas en la parte motiva de este acto administrativo, el cual quedara así:

ARTÍCULO SEGUNDO: IMPARTIR dos órdenes administrativas a la sociedad SCOTIABANK COLPATRIA S.A, así: • Adoptar e implementar un procedimiento interno con el fin de verificar, previo al tratamiento de los datos administrados, si los datos personales compartidos por terceros han sido autorizados por sus respectivos titulares de manera previa, expresa e informada; y que se cuente con la constancia de dicha autorización. • En el caso particular de la transferencia de datos efectuada en virtud del convenio suscrito con la EMPRESA DE TELECOMUNICACIONES DE BOGOTÁ (ETB), se realice una auditoría externa a efectos de establecer su esta última cuenta con la autorización previa, expresa e informada de los Titulares cuya información le fue entregada a la sociedad SCOTIABANK COLPATRIA S.A. Órdenes que deberán ser acatadas dentro del término de sesenta (60) días hábiles siguientes a la ejecutoria del presente acto administrativo.

PARÁGRAFO PRIMERO: La sociedad SCOTIABANK COLPATRIA S.A. identificada con el NIT. 860.034.594-1, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los diez (10) días hábiles siguientes a la expiración del plazo previsto para su acaecimiento. Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo.

Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la sociedad.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad SCOTIABANK COLPATRIA S.A. identificada con el NIT. 860.034.594-1, acreedora de las sanciones previstas en la ley.

ARTÍCULO TERCERO: Los demás aspectos no modificados expresamente en la presente decisión quedaran incólumes, por las razones expuestas en la parte motiva de este acto administrativo.

ARTÍCULO CUARTO: CONCEDER el recurso de apelación interpuesto subsidiariamente por la investigada y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.

ARTÍCULO QUINTO: NOTIFICAR a la sociedad SCOTIABANK COLPATRIA S.A. identificada con NIT. 860.034.594-1, a través de su representante legal y de su apoderado, entregándoles copia de la misma. “Por la cual se resuelve un recurso de reposición” HOJA N 28, ARTÍCULO SEXTO: COMUNICAR al señor XXXXX XXXXX XXXXX XXXXXXXxxxx identificado con la cédula de ciudadanía número XXXXXXXXXX, el contenido de la presente resolución.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C., 06 AGOSTO 2020 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2020.08.11 09:00:20 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: MRFA Revisó: LMRZ Aprobó: CESM “Por la cual se resuelve un recurso de reposición” NOTIFICACIÓN: Investigada: Entidad: Identificación: Representante legal: Identificación: Dirección: Ciudad: Correo electrónico: SCOTIABANK COLPATRIA S.A. NIT. 860.034.594-1 Luis Ramón Garcés Díaz C.C. 79.542.604 Cr 7 No. 24 – 89 P 12 Bogotá D.C. notificbancolpatria@colpatria.com Apoderado especial: Señor: Identificación: Dirección: Ciudad: Correo electrónico: Ernesto Rengifo García C.C. 14.232.210 Calle 69 Bis N° 4-48 Oficina 202 Bogotá D.C. erengifo@rengifoabogados.com COMUNICACIÓN: Señor: Identificación: Dirección: Ciudad: Correo electrónico: XXXXX XXXXX XXXXX XXXXXXX XXXXXXXXXXXXXXXX XXXXXXXXXXXXXXX XXXXXXXXXX XXXXXXXXXXXXX HOJA N 29,