(6 de mayo 2025) “Por la cual se resuelve un recurso de apelación” Radicado 21-425939 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, el numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022)
CONSIDERANDO
PRIMERO. Que, el señor XXXXXX XXXXX XXXXXXXXXX, mediante oficio radicado con el número 21-425939-0 del 25 de mayo de 2021, presentó ante esta Superintendencia una denuncia en contra de la sociedad MUEBLES JAMAR S.A. SIGLA M.J. S.A identificada con el Nit. 900.061.516-4, por la presunta vulneración de su derecho de habeas data al consultar su historial crediticio ante los operadores de información sin su consentimiento y sin contar con un interés legítimo en la adquisición de productos o servicios.
SEGUNDO. Que, con ocasión de la denuncia presentada, la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección), mediante la Resolución No. 62871 del 13 de septiembre de 2022, decidió abrir una investigación administrativa y formular cargos a la sociedad MUEBLES JAMAR S.A. SIGLA M.J., por la presunta vulneración de lo dispuesto en (i) el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma Ley; y (ii) el numeral 4 del artículo 9 en concordancia con el artículo 17 de la ley 1266 de 2008.
TERCERO. Que la Dirección consideró, conforme a las pruebas aportadas y lo manifestado por parte de MUEBLES JAMAR S.A. SIGLA M.J en el escrito de descargos, que se debía modificar la Resolución No. 62871 del 13 de septiembre de 2022, en el sentido de ampliar cargos formulando un único cargo a la sociedad CREDIJAMAR S.A. SIGLA CRJA S.A. identificada con Nit. 900.461.448-8 por la presunta vulneración de lo dispuesto en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma Ley.
Lo anterior, en la medida en que la consulta fue efectuada en el historial crediticio del titular bajo la huella de consulta CREDIJAMAR SA.
CUARTO. Que la Dirección, con fundamento en las pruebas allegadas dentro de la presente actuación, consideró que en relación con la sociedad MUEBLES JAMAR S.A. SIGLA M.J, la actuación fue archivada al encontrarse probado que dicha sociedad no realizó consulta alguna al historial crediticio del titular. En cuanto a la sociedad CREDIJAMAR S.A. SIGLA CRJA S.A., se estableció que efectuó la consulta al historial crediticio del titular sin contar con una finalidad legítima ni con la debida autorización del mismo.
Por lo anterior, mediante Resolución No. 56597 del 26 de septiembre de 2024 se resolvió lo siguiente: “ARTÍCULO 1: IMPONER una sanción pecuniaria a la CREDIJAMAR S.A. SIGLA CRJA S.A., identificada con Nit. 900.461.448-8, de OCHENTA Y OCHO (88) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes DIEZ MIL DOSCIENTOS OCHO (10.208) Unidades “Por la cual se resuelve un recurso de apelación” de Valor Básico – UVB Vigentes para el año 2024 – equivalentes CIENTO ONCE MILLONES SETECIENTOS OCHENTA Y SIETE MIL OCHOCIENTOS OCHO PESOS M/CTE(111.787.808), por la violación a lo dispuesto en la Ley 1266 de 2008 artículo 9 numeral 1, en concordancia con lo establecido en el artículo 15 de la misma Ley, según lo expuesto en la presente resolución. (…)
ARTÍCULO 3: ORDENAR a la sociedad CREDIJAMAR S.A. SIGLA CRJA S.A., identificada con Nit. 900.461.448-8, cumplir las órdenes impartidas por esta Dirección en el presente acto administrativo, según lo expuesto en su parte motiva. Para lo cual deberá dar cumplimiento dentro de dos (2) meses siguientes a la ejecutoria del presente acto administrativo.
Las ordenes son los siguientes: • La sociedad CREDIJAMAR S.A. SIGLA CRJA S.A. debe implementar un procedimiento en el cual se garantice que las consultas que realice en el historial crediticio de los Titulares, se realicen con observancia de las finalidades establecidas en la Ley o contando con la autorización para dicho fin. • La sociedad CREDIJAMAR S.A. SIGLA CRJA S.A. deberá implementar un procedimiento, para que se pueda demostrar que los titulares tienen la intención de establecer o mantener una relación comercial, de tal manera que el Usuario de Información Financiera, cuente con una finalidad legítima para consultar el historial de los titulares.
QUINTO. Que, dentro del término legal establecido para el efecto, el 21 de octubre de 2024, CREDIJAMAR S.A. SIGLA CRJA S.A. (en adelante la RECURRENTE), a través de su representante legal y mediante escrito radicado con el número 21-425939-68, interpuso recurso de reposición y en subsidio de apelación1 contra la Resolución No. 56597 del 26 de septiembre de 2024.
Solicitó la revocatoria de la sanción impuesta con fundamento en los siguientes argumentos: (i) Respecto del interés claro y legítimo del titular en acceder a servicios financieros. La recurrente sostiene que el denunciante tenía un interés claro y legítimo en acceder a los servicios financieros ofrecidos por Credijamar, lo cual se prueba con la solicitud de crédito N°3427532-10 y la correspondiente consulta reportada por Experian el 9 de octubre de 2021.
Asimismo, que el titular proporcionó voluntariamente su información personal y autorizó la simulación de un crédito en un punto de atención de Credijamar ubicado en Muebles Jamar (Cartagena), con el fin de evaluar su viabilidad crediticia. Por lo anterior, concluye que la consulta al historial crediticio se enmarcó dentro de una finalidad legítima, consistente en establecer una posible relación contractual de financiación, lo que está expresamente permitido por los artículos 9 (numeral 1) y 15 de la Ley 1266 de 2008 y que el titular finalmente optó por pagar de contado el mismo día, lo que confirma la existencia de la intención contractual.
(ii) Sobre la caducidad de la facultad sancionatoria. La recurrente señala que la consulta fue efectuada el 9 de octubre de 2021, por lo tanto, de conformidad con lo establecido en el artículo 52 del CPACA, para la fecha de presentación del recurso de apelación ya habían transcurrido los 3 años establecidos desde la conducta infractora, por lo que se debe revocar la sanción por la ocurrencia de la caducidad de la facultad sancionatoria.
(iii) Respecto de la disminución de la sanción por aceptación expresa de la conducta infractora. La recurrente solicita que se modifique el monto de la sanción aplicando la sanción más baja atendiendo los criterios de atenuación establecidos en el artículo 19 literal f) de la Ley 1266 de 2008. Afirma que la sociedad ha solicitado la disminución por este criterio desde antes de que se profiriera la resolución sancionatoria.
La Resolución No. 56597 del 26 de septiembre de 2024, fue notificada por aviso a la RECURRENTE, el 7 de octubre de 2024. “Por la cual se resuelve un recurso de apelación”
SEXTO. La Dirección, mediante la Resolución No. 77257 del 9 de diciembre de 2024, resolvió el recurso de reposición interpuesto, confirmando en su totalidad lo dispuesto en la Resolución No. 56597 del 26 de septiembre de 2024. En la decisión adoptada, se concluyó que no fueron desvirtuados los argumentos que fundamentaron la Resolución impugnada, en la medida en que la sociedad recurrente realizó una consulta el 9 de octubre de 2021 al historial crediticio del titular, sin mediar una finalidad legítima y sin contar con su autorización expresa, vulnerando su derecho fundamental de habeas data e incumpliendo el deber establecido en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la norma en mención. Respecto del criterio de atenuación de la sanción, establecido en el literal f) del artículo 19 de la Ley 1266 de 2008, se concluyó no acceder a lo solicitado por cuanto la sociedad a lo largo de la investigación no aceptó expresamente la conducta vulneratoria, adicionalmente en el recurso, aunque invoca el literal f) del artículo 19 de la Ley 1266 de 2008, toda su argumentación va encaminada a demostrar que cumplió con el deber y que no ocurrió la conducta vulneratoria.
SÉPTIMO. Que la Delegatura para la protección de datos personales es competente para resolver el recurso de apelación, de conformidad con lo establecido en el artículo 80 del CPACA y en el numeral 8 del artículo 16 del Decreto 4886 del 26 de diciembre de 2011 (modificado por el artículo 6 del Decreto 92 de 2022) 7.1. Respecto del interés claro y legitimo del titular en acceder a servicios financieros El cargo formulado en este caso se fundamenta en la transgresión del deber de utilizar la información personal únicamente para los fines autorizados, conforme a lo dispuesto en la Ley 1266 de 2008.
En particular, este cargo se sustenta en lo establecido en el artículo 15 de la citada ley, el cual establece que el acceso a la información contenida en bases de datos de naturaleza financiera, crediticia, comercial o de servicios debe limitarse a finalidades específicas, entre ellas: • • • • El análisis para establecer o mantener relaciones contractuales;
La realización de estudios de mercado, investigaciones comerciales o estadísticas; La gestión de trámites ante entidades públicas o privadas cuando la información sea pertinente; Cualquier otra finalidad, siempre que se cuente con la autorización expresa del titular. En consecuencia, la consulta efectuada el 9 de octubre de 2021 por parte de la sociedad recurrente debió haberse realizado cumpliendo con alguna de las siguientes condiciones: (i) que existiera una finalidad legítima conforme a los fines autorizados por la Ley 1266 de 2008, o (ii) que se contara con la autorización previa, expresa e informada del titular.
(i) Sobre la supuesta finalidad legítima La sociedad recurrente argumenta que la consulta al historial crediticio del titular se realizó en el marco de un análisis de riesgo crediticio, como parte del proceso previo a la eventual celebración de una relación contractual. No obstante, dicha afirmación carece de sustento probatorio suficiente.
Las únicas pruebas allegadas por la sociedad consisten en capturas de pantalla de su sistema interno, las cuales no constituyen medios idóneos ni conducentes para acreditar que el titular manifestó un interés real y concreto en entablar una relación contractual del tipo de las que justifican el acceso a su información crediticia, como las que suponen pagos por instalamentos o cuotas, o alguna forma de financiación o de crédito.
“Por la cual se resuelve un recurso de apelación” Además, el titular señaló expresamente en su denuncia que, el día de la consulta, realizó una compra en Muebles Jamar la cual pagó en efectivo (factura No. 2661478), hecho que concuerda con lo manifestado también por la recurrente. No obstante lo anterior, el titular manifestó que su historial crediticio fue consultado de forma “arbitraria”, sin que hubiera otorgado autorización alguna para ello.
Manifestación concordante con la conducta posterior del titular, quien, al percatarse de la consulta no autorizada, interpuso de manera inmediata la denuncia ante esta autoridad. A partir del análisis del material probatorio obrante en el expediente, no se evidencia que el titular hubiera manifestado intención alguna de establecer una relación contractual de largo aliento con la sociedad recurrente.
En consecuencia, no puede considerarse que la consulta respondiera a una finalidad legítima, en los términos del artículo 15 de la Ley 1266 de 2008. (ii) Sobre la ausencia de autorización previa, expresa e informada Frente a la autorización para la consulta, la sociedad afirma que el titular habría autorizado la simulación de un crédito preaprobado ante un funcionario de su área comercial en la ciudad de Cartagena.
Sin embargo, no aporta prueba fehaciente de dicha autorización. En su lugar, adjunta unas capturas de pantalla de su sistema interno y un documento en blanco que corresponde a un modelo de autorización, el cual no se encuentra diligenciado ni suscrito por el titular. “Por la cual se resuelve un recurso de apelación” Este tipo de pruebas no cumplen con los requisitos exigidos por la normativa vigente en materia de habeas data financiero, particularmente en lo relativo al consentimiento previo, expreso e informado del titular.
La mera existencia de un modelo genérico de autorización no constituye evidencia válida de que el titular consintió el tratamiento de sus datos personales para fines de evaluación crediticia. En consecuencia, este Despacho concluye que la consulta efectuada por la sociedad recurrente carecía de fundamento legal, al no estar respaldada por una finalidad legítima ni por una autorización válida por parte del titular.
La conducta de la recurrente vulneró el derecho fundamental al habeas data del titular y constituye un incumplimiento del deber establecido en el numeral 1, del artículo 9, de dicha norma, en concordancia con lo dispuesto en su artículo 15. Adicionalmente, es relevante advertir que, conforme al artículo 1 del Decreto 1727 de 2009, las consultas realizadas al historial crediticio de un titular dejan una marca visible en su reporte por un periodo de seis meses.
Dicha marca, aunque no refleje una obligación incumplida, puede generar percepciones erróneas ante terceros, afectando la imagen crediticia del titular e incidiendo negativamente en su capacidad para acceder a productos o servicios financieros futuros. Por lo tanto, la actuación de la sociedad no solo desconoció los deberes legales en materia de protección de datos personales, sino que también generó un impacto potencialmente adverso e injustificado sobre los derechos del titular.
Se debe resaltar que el Legislador ha establecido que respecto de la Ley 1266 de 2008, la Superintendencia de Industria y Comercio puede imponer sanciones cuando se identifican incumplimientos normativos que incrementan el riesgo de vulneración de los derechos de los titulares de datos personales. Esto incluye, entre otros aspectos, el incumplimiento de los deberes establecidos en la Ley.
En consecuencia, el ejercicio de la potestad sancionatoria de la Superintendencia no depende de la materialización de un daño o perjuicio directo a uno o varios titulares de datos personales plenamente identificados, sino del hecho de desconocer alguna de las obligaciones establecidas en el marco normativo de protección de datos. Esto se fundamenta en el enfoque preventivo y de gestión de riesgos que caracteriza al régimen colombiano de protección de datos personales, el cual busca minimizar la probabilidad de conductas, situaciones o incidentes que afecten los derechos fundamentales de los titulares.
Por lo tanto, la administración puede ejercer su potestad sancionatoria siempre que, en el marco de la actuación administrativa correspondiente, se determine que ha existido una trasgresión de las disposiciones que protegen la dimensión objetiva del derecho fundamental al habeas data. Este enfoque resulta particularmente relevante en relación con las obligaciones que recaen sobre las fuentes, operadores y usuarios de la información, quienes deben garantizar, en todo momento, el cumplimiento de sus deberes legales.
En el caso bajo estudio, se ha establecido que la sociedad recurrente incurrió en una vulneración del derecho fundamental de habeas data, al consultar el historial crediticio del titular sin mediar una finalidad legítima o su autorización expresa. Adicionalmente, su actuación evidencia la puesta en riesgo del derecho fundamental de habeas data de todos los titulares cuyos datos personales obran en las bases de datos de los operadores y son susceptibles de consulta por parte de la RECURRENTE.
Es fundamental precisar que las sanciones administrativas no tienen por objeto la reparación de daños materiales o morales, ni constituyen una estimación de perjuicios subjetivos. Su propósito es garantizar el cumplimiento del régimen legal vigente, proteger el derecho fundamental al habeas data y disuadir la reiteración de conductas infractoras, especialmente en casos de reincidencia. “Por la cual se resuelve un recurso de apelación” En el presente caso, el monto de la sanción fue determinado conforme a los criterios legales de graduación previstos en el artículo 19 de la Ley 1266 de 2008.
Para ello, esta Superintendencia evaluó el deber omitido, la duración de la vulneración, el número de titulares afectados o potencialmente afectados y la capacidad económica de la sociedad investigada, considerando su tamaño, ingresos operacionales, patrimonio, entre otros factores relevantes. Con base en estos elementos, se concluye que la sanción impuesta cumple con los principios de razonabilidad y proporcionalidad, garantizando su efecto disuasorio y la protección efectiva del derecho fundamental de habeas data.
El ejercicio de la potestad sancionatoria no está orientado exclusivamente a reprobar una conducta específica en el tiempo y en el espacio, persigue sobre todo un efecto disuasorio que evite la repetición de la infracción. En este sentido, la sanción no solo es proporcional a la gravedad de la falta frente a un quejoso, sino frente al riesgo de afectación de cientos de personas.
Responde en últimas a la necesidad de garantizar el cumplimiento efectivo de la ley y la protección de los derechos de los titulares de datos, razón última y justificación de las funciones de inspección, vigilancia y control de esta Delegatura. Adicionalmente, se resalta que la sanción impuesta se encuentra dentro de los límites establecidos en el artículo 18 de la Ley 1266 de 2008, que fija un rango de 1 a 2.000 salarios mínimos legales mensuales vigentes.
En efecto, el valor impuesto corresponde al 4,2% del umbral máximo permitido, lo cual reafirma su razonabilidad en atención a las circunstancias del caso. En conclusión, la sanción impuesta es legal, proporcional y fue debidamente motivada. La reiteración de la conducta infractora justificó la aplicación del agravante por reincidencia, y el monto de la sanción responde a la necesidad de generar un efecto disuasorio. 7.2.
Sobre la caducidad de la facultad sancionatoria El artículo 52 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo (CPACA) establece: “ARTÍCULO
52. CADUCIDAD DE LA FACULTAD SANCIONATORIA. Salvo lo dispuesto en leyes especiales, la facultad que tienen las autoridades para imponer sanciones caduca a los tres (3) años de ocurrido el hecho, la conducta u omisión que pudiere ocasionarlas, término dentro del cual el acto administrativo que impone la sanción debe haber sido expedido y notificado.
Dicho acto sancionatorio es diferente de los actos que resuelven los recursos, los cuales deberán ser decididos, so pena de pérdida de competencia, en un término de un (1) año contado a partir de su debida y oportuna interposición. Si los recursos no se deciden en el término fijado en esta disposición, se entenderán fallados a favor del recurrente, sin perjuicio de la responsabilidad patrimonial y disciplinaria que tal abstención genere para el funcionario encargado de resolver.
Cuando se trate de un hecho o conducta continuada, este término se contará desde el día siguiente a aquel en que cesó la infracción y/o la ejecución.” (resaltado fuera del texto) De la lectura de la norma se concluye que el procedimiento sancionatorio administrativo comprende dos etapas claramente diferenciadas: 1. Una primera etapa, que abarca desde el inicio de la actuación administrativa hasta la notificación del acto administrativo sancionatorio. 2.
Una segunda etapa, relativa al trámite y resolución de los recursos que eventualmente se interpongan contra dicho acto. Para efectos de determinar la caducidad de la facultad sancionatoria, en relación con la primera etapa del procedimiento administrativo sancionatorio, debe tenerse en cuenta el lapso de tiempo que transcurre entre “Por la cual se resuelve un recurso de apelación” la ocurrencia del hecho o de la conducta sancionable y la notificación del acto administrativo que impone la sanción. Asimismo, es importante tener en cuenta que en las hipótesis de conductas de ejecución continuada el término comienza a contarse a partir de la fecha en que cesa la ejecución o los efectos de dicha conducta.
Sobre este punto, el Consejo de Estado2 ha sido claro en señalar que: “Las conductas instantáneas se agotan en un solo momento, en tanto que las de ejecución sucesiva se prolongan en el tiempo, lo que significa que la comisión de la conducta objeto de investigación tiene el carácter de permanente o continuada, de tal suerte que la facultad sancionatoria de la administración debe computarse a partir de la comisión o realización del último acto de ejecución. En efecto, en el evento de investigarse una conducta permanente o continuada, el Consejo de Estado ha sostenido que el término de caducidad para imponer la sanción3 “comienza a contarse a partir de la fecha en la cual cesa dicha conducta.
De allí que en los demás casos, dicho plazo se contabilizará en la forma establecida por el artículo 38 del C.C.A., esto es, desde que el hecho se produce”4 (resaltado fuera del texto) En el presente caso, la conducta imputada consiste en la consulta no autorizada del historial crediticio del titular por parte de la sociedad recurrente. • Según lo informado por el operador de información Experian Colombia S.A., mediante radicado No. 21-425939-7, la consulta fue realizada el 9 de octubre de 2021. • De conformidad con el artículo 1 del Decreto 1727 de 2009, estas consultas dejan una marca visible o “huella” en el historial crediticio por un período de seis (6) meses. • En consecuencia, la huella derivada de la consulta permaneció visible hasta al menos el 9 de abril de 2022, fecha en la que cesó la afectación y, por tanto, se configuró la cesación de la conducta continuada.
Por tanto, el término de tres (3) años para el ejercicio de la facultad sancionatoria debe contarse a partir del 9 de abril de 2022, y no desde la fecha de la consulta. En estos términos, la caducidad de la facultad sancionatoria operaría el 9 abril de 2025. Situación que claramente no ocurrió en el presente caso. En efecto, la Resolución No. 56598 del 26 de septiembre de 2024, mediante la cual se impuso la sanción y que fue debidamente notificada el 7 de octubre de 2024, se profirió dentro del término legal.
Esta aritmética básica permite descartar el argumento de la recurrente de una supuesta ocurrencia de la caducidad de la facultad sancionatoria. Incluso si se considerara, como equivocadamente lo afirma la sociedad, que la conducta fue instantánea y no continuada, al haberse expedido y notificado la resolución sancionatoria el 7 de octubre de 2024, no habrían transcurrido aún los tres (3) años desde la fecha de la consulta (9 de octubre de 2021), por lo que para esta hipótesis también debe descartarse la supuesta ocurrencia de la caducidad de la facultad sancionatoria.
Consejo de Estado, Sección Sección Primera, en sentencia de 22 de mayo de 2014 (Expediente núm. AC-2013-02392-00, M.P. Marco Antonio Velilla Moreno “Dado lo anterior, quedó demostrado que esta Corporación ha realizado un análisis sobre el término de la caducidad de la facultad sancionatoria concerniente a hechos distintos, como las infracciones en materia de energía que fueron en forma continuada donde la ocurrencia del hecho se contó a partir del último acto, o en el caso aduanero que a pesar de tener norma especial que regula el tema, se parte que existe conocimiento de la falta desde que la entidad inicie el trámite administrativo…” Consejo de Estado, Sección Quinta, Sentencia del 12 de abril de 2018, M.P. Carlos Enrique Moreno Rubio, Radicación número: 25000-23-24-000-2012-00788-01, actor: ALIANSALUD ENTIDAD PROMOTORA DE SALUD S. A. Consejo de Estado, Sección Primera, Sentencia del 18 de agosto de 2011, M.P. Rafael E. Ostau de Lafont Pianeta, Radicación número: 11001-03-24-000-2007-00013-00, posición reiterada en providencia del 8 de febrero de 2018, exp. 25000-23-24-000-2008-00045-02, M.P. Rocío Araújo Oñate, actor: Empresa de Acueducto y Alcantarillado de Bogotá (EAAB).
“Por la cual se resuelve un recurso de apelación” Ahora bien, en cuanto al término en que debe agotarse la segunda etapa del procedimiento administrativo sancionatorio, este Despacho precisa que no le resulta aplicable el término de tres (3) años previsto en el artículo 52 del CPACA, sino el de un (1) año señalado en el mismo artículo para decidir los recursos.
En efecto, la norma distingue expresamente entre el acto sancionatorio y los actos que resuelven recursos, indicando que estos últimos deben ser decididos, so pena de pérdida de competencia, dentro del año siguiente a su debida y oportuna interposición. En el presente caso, el recurso fue interpuesto el 21 de octubre de 2024, por lo que a la fecha esta Delegatura se encuentra dentro del término legal para su resolución. Del análisis anterior se concluye que en ninguno de los escenarios alegados por la sociedad recurrente ha operado la caducidad de la facultad sancionatoria.
Por el contrario, tanto la expedición y notificación del acto administrativo sancionador, como en el trámite del recurso, se han respetado los términos legales previstos por el CPACA. 7.3. Respecto de la disminución de la sanción por aceptación expresa de la conducta infractora Para efectos de la graduación de las sanciones, esta Superintendencia aplica los criterios establecidos en el artículo 19 de la Ley 1266 de 2008, teniendo en cuenta únicamente aquellos que resulten pertinentes según la conducta investigada que dio origen a la actuación administrativa.
El artículo mencionado dispone: “ARTÍCULO 19. Criterios para graduar las sanciones. Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar. c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio. e) La renuencia o desacato a cumplir, con las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” (resaltado fuera del texto) Sobre la aplicación de estos criterios, la Corte Constitucional, en la Sentencia C1011 de 2008, precisó que los literales del a) al e) constituyen factores agravantes, mientras que el literal f) opera como único criterio atenuante.
Al respecto, indicó: “Criterios de graduación de las sanciones (Art. 19). En cuanto resulten aplicables, se contemplan los siguientes criterios agravantes de la responsabilidad: (i) la dimensión del daño o peligro para los intereses jurídicamente tutelados; (ii) el beneficio económico que la infracción hubiere reportado para el infractor o para terceros;
(iii) la reincidencia en la comisión de la infracción; (iv) la resistencia, negativa u obstrucción a la acción investigadora o de vigilancia “de la Superintendencia de Industria y Comercio”; (v) la renuencia o desacato a cumplir con las órdenes impartidas “por la Superintendencia de Industria y Comercio”. Como único criterio de atenuación de la responsabilidad se contempla: (i) el reconocimiento o aceptación expresos, proveniente del investigado, sobre la comisión de la infracción, efectuado antes de la imposición de la sanción a que hubiere lugar.” (resaltado fuera del texto) “Por la cual se resuelve un recurso de apelación” En consecuencia, para que proceda una reducción de la sanción con base en este criterio atenuante, se exige que el investigado haya reconocido o aceptado expresamente la comisión de la infracción de manera previa a la expedición del acto sancionatorio.
En el presente caso, tras el análisis de los escritos de descargos y de alegatos de conclusión, este Despacho concluye que la sociedad no realizó, en ningún momento, una aceptación expresa de la infracción. Por el contrario, sus argumentos estuvieron encaminados a desvirtuar la existencia de la misma, afirmando que contaba con un interés legítimo para consultar el historial crediticio del titular, y que dicha consulta se enmarcaba dentro del análisis previo a una eventual relación contractual.
Bajo tales circunstancias, no resulta procedente acoger la solicitud de atenuación formulada por la sociedad en el escrito de recurso de reposición y, en subsidio, de apelación, pues no se configura el presupuesto exigido por el literal f) del artículo 19 de la Ley 1266 de 2008: la aceptación expresa y oportuna de la conducta infractora.
OCTAVO. Conclusiones. • En el presente caso está plenamente demostrado el incumplimiento del deber establecido en el numeral 1, del artículo 9, de la Ley 1266 de 2008 en concordancia con el artículo 15 de la misma Ley. En efecto, la consulta efectuada por la sociedad recurrente carecía de una base legítima que la sustentara, puesto que no mediaba una finalidad legitima ni la autorización del titular. • La multa impuesta a CREDIJAMAR S.A. SIGLA CRJA S.A. ($111.787.808), corresponde al 4,2% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 18 de la Ley 1266 de 2008). • La actuación administrativa se adelantó dentro del plazo legalmente establecido, y la facultad sancionatoria de esta Superintendencia se ejerció en tiempo, conforme a lo dispuesto en el artículo 52 del CPACA. • El monto de dicha sanción es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa, de las circunstancias específicas de este caso.
Así como del incumplimiento de los deberes impuestos por la Ley 1266 de 2008 a las fuentes, operadores y usuarios de la información. • La vulneración del derecho de habeas data no solo afecta al titular cuyos datos personales fueron tratados indebidamente, sino que pone en riesgo el derecho al habeas data de titulares indeterminados. • No procede la atenuación de la sanción solicitada por la sociedad recurrente, dado que no se cumplió con el requisito de aceptación expresa y previa de la conducta infractora exigido por el literal f) del artículo 19 de la Ley 1266 de 2008. • La sanción impuesta cumple con los principios de razonabilidad y proporcionalidad, garantizando su efecto disuasorio y la protección efectiva del derecho fundamental de habeas data.
Cuyo objetivo no es solo sancionar la conducta individual, sino también generar un efecto disuasorio que evite la repetición de la infracción. De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirma la resolución 56597 del 26 de septiembre de 2024.
En mérito de lo expuesto, “Por la cual se resuelve un recurso de apelación”
RESUELVE
ARTÍCULO 1. CONFIRMAR en todas sus partes la Resolución 56597 del 26 de septiembre de 2024, de conformidad con lo establecido en la parte motiva del presente acto administrativo.
ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad CREDIJAMAR S.A. SIGLA CRJA S.A., identificada con NIT. 900.461.448-8 a través de su representante legal, entregándole copia de esta e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO 3. COMUNICAR la presente decisión al señor XXXXXX XXXXX XXXXXXXXXX identificado con cédula de ciudadanía No. xx.xxx.xxx.
ARTÍCULO 4. INFORMAR el contenido de la presente resolución a la Dirección de Investigaciones, y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C., 6 de mayo 2025. EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES digitalmente por JUAN CARLOS Firmado JUAN CARLOS UPEGUI MEJIA 2025.05.06 12:28:54 UPEGUI MEJIA Fecha: -05'00' JUAN CARLOS UPEGUI MEJÍA Proyectó: AV Revisó: JCU Aprobó: JCU “Por la cual se resuelve un recurso de apelación” NOTIFICACIÓN Entidad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: CREDIJAMAR S.A. SIGLA CRJA S.A. Nit. 900.461.448-8 SANDRA PATRICIA RINCÓN AGUIRRE C.C 52.377.614 CL 35 No 39 - 73 Barranquilla - Atlántico cdocumentacion@credijamar.com.co COMUNICACIÓN Señor: Identificación: Dirección: Ciudad: Correo electrónico: XXXXXX XXXXX XXXXXXXXXX C.C. No. xx.xxx.xxx xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Cartagena – Bolívar xxxxxxxxxxxxxxxxxxxx