Decisión 2202 de 2022 — SIC

(Enero 27 de 2022) Radicación 20-80994 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el artículo 6 del Decreto 92 de 2022), y

CONSIDERANDO

PRIMERO: Que, mediante comunicación del 6 de abril de 2020, la señora Xxxxxxxx Xxxxxxxx Xxxxx, identificada con la cédula de ciudadanía No. x.xxx.xxx.xxx, radicó ante esta entidad una denuncia contra el Banco Comercial AV Villas S.A., por la presunta vulneración de su derecho de Habeas Data. Manifestó lo siguiente la denunciante 1: “(…) 1.

El día 16 de enero de 2020 me dirigí a la sucursal del banco Av Villas ubicado en el Centro Comercial UNICENTRO en la ciudad de Cali, con el fin de aperturar una cuenta de ahorros de nómina con ocasión a las instrucciones dadas en mi puesto de trabajo. 2. Es así como me hice titular de una cuenta de ahorros del banco Av Villas No. xxxxxxxxxx y, por ende me convertí en cliente del mismo pues nunca había activado productos financieros con dicha entidad en el pasado. 3.

Debido a problemas que se me presentaron en el uso de la aplicación del banco “Av Villas App”, motivo por el cual me dirigí a la misma sucursal del banco en la que abrí mi cuenta de ahorros el día 13 de febrero de 2020 a las 10:30 a.m. y fui atendida por el señor XXXXXXXXX XXXXXXXX XXXXXXX, quien estaba atendiendo en la casilla No. 3 de asesores del banco. 4.

Cuando fue mi turno de atención, le manifesté al señor Xxxxxxxxx que tenía problemas con ingresar a la plataforma del banco por medio de la aplicación, dijo que podía brindarme ayuda, me pidió que le entregara mi cédula y mi tarjeta del banco y me dirigió al cajero automático ubicado en la sucursal para llevar a cabo el procedimiento de activación. 5.

Estando en el cajero automático, llevó a cabo el procedimiento de activación. Una vez concluido el mismo, el asesor del banco empezó a salirse del tono profesional y laboral, empezó a coquetear y me pidió mi número personal de teléfono, a lo cual respondí negándome, luego me preguntó que si tenía novio, y procedí a indicarle que sí y a retirarme inmediatamente de la sucursal del banco. 6.

Luego de retirarme de la instalación, me dirigí hacia un restaurante del centro comercial Unicentro para almorzar. Posteriormente recibí un mensaje a mi cuenta de Whatsapp del un número desconocido “+xx xxx xxx xxxx”, el cual decía: “De todas formas tome tú números 🤣 🤣 ”. Comunicación No. 20-80994-1 del 6 de abril de 2020. Págs. 1 y 2.

HOJA Nº, 2 7.Cuando pulsé en la imagen de perfil de ese número para ampliar la información de contacto veo que aparece el nombre de “Xxxxxxxxx Xxxxxxxx” y en la foto de perfil veo al mismo hombre que me atendió en la sucursal del banco Av Villas, en una foto acompañado por una mujer. 8. En aquel momento me sentí tan acosada e incomoda que decidí comentarle a mi novio mientras me dirigía nuevamente a la sucursal del banco para presentarle una queja al gerente por el actuar que había tenido el banco por medio de su personal, toda vez que NUNCA he autorizado al Banco Av Villas para que por medio de sus dependientes me contacte a mi número personal con fines distintos a los relativos de los servicios o productos financieros que adquiera con dicha entidad. 9.Nuevamente en la sucursal del banco, me dirigí a la oficina de gerencia, buscando al gerente de dicha sede, el señor XXXXXX XXXXXXXX, pero lamentablemente por ser hora de almuerzo no se encontraba en su puesto de trabajo. 10.Sin embargo, fui atendida por la subgerente de la sede, a la cual le manifesté mi inconformidad y le mostré la conversación en mi celular.

Ante esta situación, me pidió el favor de que le dejara por escrito lo ocurrido y que le comentaría el caso al gerente. Cuando terminé de pasar mi informe escrito y estaba por retirarme la subgerente me ofreció disculpas y me manifestó “que el chico es así, es un poco inmaduro”. Esto último me generó un desasosiego aún mayor, porque me dio a entender que las mismas directivas de la sede tienen conocimiento de su comportamiento y no han tomado los adecuados correctivos para salvaguardar la información personal de los clientes del banco. 11.Posteriormente, a las 12:10 p.m. recibí un mensaje del mismo número desconocido perteneciente al señor Xxxxxxxxx Xxxxxxxx, en el cual se lee “Le ofrezco mil disculpas no sucederá de nuevo”.

Ante esto sentí nuevamente un gran malestar al saber que habían vulnerado mi intimidad personal desde el banco y se lo manifesté por escrito al señor Xxxxxxxx, por lo que a las 12:15 p.m. respondí a ese mensaje con otro en el cual manifesté “Usted no tiene porque sacar mis datos personales del sistema de la empresa”. 12.Me incomodó enormemente saber que el personal del banco Av Villas manipula los datos personales sin escrúpulo, lo cual fue confirmado por el mismo asesor cuando a las 12:36 p.m. me respondió nuevamente el señor Xxxxxxxx diciendo “Si señorita tiene usted la razón nuevamente ofrezco mis disculpas”. 13.Igualmente fue confesado el actuar inescrupuloso por parte del señor Xxxxxxxxx Xxxxxxxx al teléfono de mi novio, el cual es +xx xxx xxx xxxx, cuando él, molesto por el actuar del banco, le escribe al asesor reclamándole por el mal manejo de la información de los datos personales, a lo que él respondió a las 12:13 p.m. “Buen día. Nuevamente ofrezco mis disculpas.

Tiene usted razón. No sucederá nuevamente”. 14.Posteriormente el señor Xxxxxxxx eliminó de la conversación del chat el mensaje enviado a las 12:10 p.m. Ante la situación previamente descrita, de manera comedida me permito realizar a esta delegatura la siguiente SOLICITUD 1.Se le de inicio a la apertura de una investigación administrativa de carácter sancionatorio al Banco Av Villas por violación a mis datos personales en virtud del indebido y no autorizado tratamiento que se les dio a mis datos y por faltar a la salvaguarda y protección de los mismos. 2.Se le imponga una sanción ejemplar de carácter pecuniario a la entidad, para prevenir a las demás entidades del interés principal que tiene la protección de datos personales a la luz de la Constitución Política de Colombia.

(…)”

SEGUNDO: Que, una vez analizados los elementos materiales probatorios presentes en el expediente, mediante la Resolución No. 5046 del 10 de febrero de 2021 la Dirección de Investigación de Protección de Datos Personales resolvió lo siguiente: HOJA Nº, 3 “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria al BANCO COMERCIAL AV VILLAS S.A. identificado con el Nit. 860.035.827-5 de DIEZ MILLONES OCHOCIENTOS NOVENTA Y DOS MIL CUATROCIENTOS PESOS M/CTE ($10.892.400), equivalente a 300 Unidades de Valor Tributario por la transgresión de lo dispuesto en el artículo 15 de la Ley 1581 de 2012.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual. ARTÍCULO SEGUNDO: Notificar personalmente el contenido de la presente resolución al BANCO COMERCIAL AV VILLAS S.A. identificado con el Nit. 860.035.827-5, a través de su apoderado especial, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.”

TERCERO: Que, mediante comunicación del 5 de marzo de 2021, el Banco Comercial Av Villas S.A.- el recurrente-, a través de su apoderado, presentó, en debido tiempo2, recurso de reposición y en subsidio de apelación contra la Resolución No. 5046 del 10 de febrero de 2021, con los siguientes argumentos y solicitudes3: i. AV Villas no ha incumplido las normas sobre tratamiento de datos, para el presente caso no resulta aplicable el artículo 15 de la Ley 1581 de 2012 • Menciona que “AV VILLAS ha cumplido cabalmente el deber contemplado en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la misma normatividad, tal como el despacho tuvo oportunidad de reconocerlo al descartar cualquier responsabilidad de la entidad que represento dentro de la misma Resolución 5046 de 2021”4, de la siguiente manera: “Así las cosas, considera este Despacho que en el presente caso, no hubo una vulneración al deber de conservar la información bajo las condiciones de seguridad necesarias para impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento por parte del Banco Av Villas, en su calidad de Responsable del tratamiento de datos personales, por lo que se procederá a Archivar el cargo” • Por lo anterior, considera la recurrente que la situación fáctica que se presentó en el caso no encaja dentro de lo establecido en el artículo 15 de la Ley Estatutaria 1581 de 2012, pues se requiere para su aplicación “( ) el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley ( ) (por parte del Responsable del Tratamiento o el Encargado del Tratamiento de los datos.)” Por lo que concluye que: “En tal sentido, establecido como está que en el presente caso no existió dicho presunto incumplimiento, en cabeza de AV VILLAS, está claro que respecto de esta entidad no resulta aplicable el presupuesto normativo del artículo 15 de la Ley 1581 de 2012, el cual está condicionado, como ha quedado visto, a derechos de petición relacionados con sujetos que hayan presuntamente incumplido las normas relacionadas con el tratamiento de datos.”5 Según Certificación de la Secretaría General Ad-Hoc del 10 de febrero de 2021, con radicado No. 20-80994-35, la Resolución No. 5046 fue notificada al Banco Comercial AV Villas SA y su apoderado el 19 de febrero de 2021, y el recurso de reposición y en subsidio de apelación se presentó el 5 de marzo de 2021, esto es, dentro del término de 10 días hábiles siguiente a su notificación. Comunicación No. 20-80994-36 de 05 de marzo de 2021.

Comunicación No. 20-80994-36 de 05 de marzo de 2021. Pág. 1. Comunicación No. 20-80994-36 de 05 de marzo de 2021. Pág. 2. HOJA Nº, 4 • Además, añade que: “(…) el artículo 15 de la Ley 1581 de 2012 no regula, de manera general el derecho de petición a cargo de particulares, sino que está establecido por el legislador para garantizar los derechos de tratamiento de datos, que en el presente caso, como ya se ha dicho, no se ha vulnerado por AV VILLAS.” ii.

La señorita Xxxxxxxx Xxxxx sí recibió atención y respuesta a la solicitud que presentó el mismo día que presentó (sic) la solicitud. La motivación de la sanción no corresponde a la realidad. • Aclara que “la señorita Xxxxxxxxx Xxxxx sí recibió atención y respuesta oportuna tanto por parte de la subgerente, como por parte del gerente de la oficina de Unicentro Cali”6 • Considera que “en el propio texto de la queja, la referida señorita da cuenta de que, una vez se dirigió al banco a poner en conocimiento la situación relacionada con el mensaje enviado por el señor Xxxxxxxx “( ) fui atendida por la subgerente de la sede, a la cual le manifesté mi inconformidad y le mostré la conversación en mi celular.

Ante esta situación, me pidió el favor de que le dejara por escrito lo ocurrido y que le comentaría el caso al gerente. Cuando terminé de pasar mi informe escrito y estaba por retirarme la subgerente me ofreció disculpas y me manifestó “que el chico es así, es un poco inmaduro ( )”7. • Indica que, en su criterio, la: “(…) quejosa fue atendida de inmediato, en forma personal por la subgerente, se le ofrecieron disculpas, se le pidió poner por escrito su inconformidad y se la ofreció que el gerente la contactaría (pues se encontraba en hora de almuerzo), teniendo en cuenta que la quejosa lo que quería era hablar directamente con él, como ella se lo expresó a la subgerente.

El gerente, por su parte, enterado de la situación por la subgerente, y consciente que desde un primer momento lo que había pretendido dicha señorita era hablar con el gerente, la llamó al día siguiente, 14 de febrero, a las 10:40, al celular que ella había dejado registrado en su escrito; contactó telefónicamente a la señorita Xxxxxxxxx Xxxx, para igualmente atender su inconformidad y sostuvo con ella una conversación telefónica de ocho minutos alrededor del caso, donde procuró la satisfacción personal de la quejosa” 8. • Señala que: “( ) desde el punto de vista de la queja presentada por la señorita Xxxxxxxxx, hubo una atención y conciencia plena sobre su molestia, la atención y satisfacción personal de su reclamo, el llamado a explicar el suceso al señor Xxxxxxxx y la comunicación con la cliente sobre las acciones adelantadas, todo lo cual ocurrió dentro de las 24 horas siguientes a la presentación de su queja”9.

En suma, el caso fue asumido de inmediato por los funcionarios de la referida oficina Unicentro Cali, quienes no solo atendieron a la mencionada señorita, tanto el 13 como el 14 de febrero, en la primera fecha personalmente y en la segunda vía telefónica, sino que en ese mismo lapso se habían solicitado explicaciones verbales al señor Xxxxxxxx, se le había reconvenido y se habían realizado las prevenciones necesarias para que ese tipo de sucesos no volviera a ocurrir, como en efecto sucedió.”10 • Afirma que: “no corresponde a la realidad la motivación de la sanción impuesta en la que la Dirección manifiesta lo siguiente `Por lo tanto, no responder de manera respetuosa, completa y de fondo, dentro del término legal establecido, un reclamo hecho por un titular de información, vulnera su derecho fundamental de hábeas data`”11.

Comunicación No. 20-80994-36 de 05 de marzo de 2021. Págs. 2 y 3. Comunicación No. 20-80994-36 de 05 de marzo de 2021. Pág. 3. Comunicación No. 20-80994-36 de 05 de marzo de 2021. Pág. 3. Comunicación No. 20-80994-36 de 05 de marzo de 2021. Págs. 3 y 4. Comunicación No. 20-80994-36 de 05 de marzo de 2021. Pág. 4. Comunicación No. 20-80994-36 de 05 de marzo de 2021.

Pág. 4. HOJA Nº, 5 Lo anterior porque, en su criterio: “Está probado que los funcionarios señalados de la oficina Unicentro Cali, respondieron de manera respetuosa, oportuna y completa el reclamo de la señorita Xxxxxxxxx Xxxxx. ( ) se evidencia que la atención fue oportuna y se dio respuesta dentro de las veinticuatro horas siguientes a su reclamo, como quedó dicho, lapso en el cual también se recibieron las explicaciones verbales del señor Xxxxxxxx y se efectuó la reconvención al mismo, para comprometerlo a no volver a incurrir en actos como el señalado, el cual realizó, como ya quedó probado, con carácter personalísimo, y no como expresión del actuar del banco.”12 • Añade que: “El oficio del banco que cita la Dirección, del 4 de junio de 2020, es una reiteración escrita de las excusas que la propia interesada y el despacho admiten que ya se habían surtido, por los funcionarios del banco, en forma verbal, desde el 13 de febrero de 2020, en forma tal que sobre ese particular nada nuevo agrega ese oficio.

(…) El informe sobre el inicio del proceso disciplinario contra el señor Xxxxxxxx, comunicado el 4 de junio de 2020 a la quejosa, corresponde en el tiempo a un hecho que debía surtir, como lo manifestamos en el escrito de descargos, un proceso de evaluación y consulta jurídica internas, cuya procedencia no podía estar determinada en 24 horas, ni correspondía efectuar a la sugerente ni al gerente de una oficina del centro comercial, sino que competía iniciar y tramitar al área de recursos humanos, previa evaluación jurídica de la procedencia de la misma, como en efecto ocurrió.” 13 • Además, no está de acuerdo el recurrente con la siguiente afirmación de la Dirección de Investigación de Protección de Datos Personales en la Resolución No. 5046 del 10 de febrero de 2021: “ En ese sentido, debió EL BANCO atender el derecho de petición presentado por la señora Xxxxxxxxx Xxxxx, dentro del término establecido y pronunciarse respecto de los hechos puestos en conocimiento y no haber esperado la intervención de esta Superintendencia para hacerlo, en la medida que el reclamo presentado el 13 de febrero de 2020, sólo obtuvo respuesta el día 4 de junio de 2020, es decir, 3 meses 21 días después”14. • En idéntico sentido, indica que: “no es afortunado afirmar, como lo hace el despacho que el “( ) Banco Av Villas no inició algún tipo de investigación relacionada con los hechos relatados por la quejosa, sólo se iniciaron acciones de tipo disciplinario una vez fue solicitada información por parte de esta Dirección el día 28 de mayo de 2020 ( )”15 iii.

En relación con el procedimiento llevado a cabo al interior del Banco al recibir la queja de la Titular, menciona lo siguiente: • “Las excusas presentadas por el banco a la quejosa, que se reitera se formularon desde el mismo 13 de febrero no 2020, no están sometidas a que la Dirección las considere o no de recibo, pues ninguna norma prevé que deban ser sometidas a su escrutinio ni aprobación.”16 • La Dirección no puede: “exigir la Dirección que el banco se salte los procedimientos internos, donde están previstos derechos colectivos del trabajo, derechos de contradicción y defensa y normas de la convención colectiva del trabajo, para que lo realizado por el banco en el mes de junio hubiera debido hacerse en los pocos días hábiles que transcurrieron entre el 13 y el 29 de febrero, lo cual es un imposible temporal y jurídico.

Por tanto, tampoco está afortunadamente sustentada la sanción, cuando se afirma que: “las excusas presentadas por EL BANCO, no son de recibo por parte de esta Dirección en la medida que, las mismas acciones que se iniciaron en el mes de Comunicación No. 20-80994-36 de 05 de marzo de 2021. Pág. 5. Comunicación No. 20-80994-36 de 05 de marzo de 2021.

Pág. 5. Comunicación No. 20-80994-36 de 05 de marzo de 2021. Pág. 6. Comunicación No. 20-80994-36 de 05 de marzo de 2021. Pág. 6. Comunicación No. 20-80994-36 de 05 de marzo de 2021. Pág. 6. HOJA Nº, 6 junio de 2020, debieron haberlas realizado en el mes de febrero atendiendo favorablemente o no la petición de la quejosa, pero si haber adelantado por lo menos la investigación que al final se realizó”. • Indica que: “AV VILLAS, luego de las valoraciones jurídicas necesarias y las consultas internas pertinentes, decidió iniciar y llevar hasta su culminación un proceso disciplinario de carácter laboral, en el cual también existen las reglas del debido proceso, de presunción de inocencia, citación a descargos, periodo probatorio, etc., a lo cual hay que sumar los términos pactados en la convención colectiva de trabajo para la citación de los representantes de los trabajadores a la diligencia de descargos”17 (…) eso no quiere decir que la solicitud de la señorita Xxxxxxxx de tomar medidas al respecto, no haya sido atendida.

Sí fue atendida y el banco AV VILLAS decidió adoptar, respecto del señor Xxxxxxxx, una medida seria y aleccionadora, tal vez de mayor significado del que la propia solicitante habría imaginado, consciente como es AV VIILLAS de la importancia de que se respeten los derechos consagrados en la Ley 1581 de 2012 y sus desarrollos.18” iv. La Titular no solicitó que se investigara una presunta vulneración del artículo 15 de la Ley Estatutaria 1581 de 2012. • Afirma que la quejosa nunca pidió en su escrito de queja dirigido a esta Entidad que se investigara al Banco por haber vulnerado el artículo 15 de la Ley 1581 de 2012.

“Ella lo que solicitó fue que: 1. “Se le de inicio a la apertura de una investigación administrativa de carácter sancionatorio al Banco Av Villas por violación a mis datos personales en virtud del indebido y no autorizado tratamiento que se les dio a mis datos y por faltar a la salvaguarda y protección de los mismos. 2. Se le imponga una sanción ejemplar de carácter pecuniario a la entidad, para prevenir a las demás entidades del interés principal que tiene la protección de datos personales a la luz de la Constitución Política de Colombia”19. v. Solicitud. • El recurrente solicita lo siguiente: revocar el artículo primero de la Resolución No. 5046 del 10 de febrero de 2021.

CUARTO: Que, por medio de la Resolución No. 81883 de 14 de diciembre de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió el recurso de reposición confirmando en todas sus partes la Resolución No. 5046 del 10 de febrero de 2021 y concediendo el recurso de apelación solicitado por el recurrente.

QUINTO: Que, de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se procederá a resolver el recurso de apelación interpuesto, de acuerdo con las siguientes: CONSIDERACIONES DEL DESPACHO

1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES. Comunicación No. 20-80994-36 de 05 de marzo de 2021. Pág. 7. Comunicación No. 20-80994-36 de 05 de marzo de 2021. Pág. 8. Comunicación No. 20-80994-36 de 05 de marzo de 2021. Pág. 7. HOJA Nº, 7 El artículo 16 del Decreto 4886 de 26 de diciembre de 201120 (modificado por el artículo 6 del Decreto 92 de 2022), establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destaca la siguiente: “(…) 8.

Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo. (…)” (Destacamos)

2. DEL DEBER DE RESPONDER OPORTUNA Y DEBIDAMENTE LOS RECLAMOS DE LOS TITULARES DE LOS DATOS Menciona el recurrente en el recurso de apelación que no ha incumplido las normas sobre Tratamiento de datos y que, por tanto, no le resulta aplicable el artículo 15 de la Ley Estatutaria 1581 de 2012. Como fundamento de lo anterior, señala, entre otras, lo siguiente: “En tal sentido, establecido como está que en el presente caso no existió dicho presunto incumplimiento, en cabeza de AV VILLAS, está claro que respecto de esta entidad no resulta aplicable el presupuesto normativo del artículo 15 de la Ley 1581 de 2012, el cual está condicionado, como ha quedado visto, a derechos de petición relacionados con sujetos que hayan presuntamente incumplido las normas relacionadas con el tratamiento de datos.”21 Contrario lo argumenta el recurrente, el artículo 15 de la Ley Estatutaria 1581 de 2012 ordena lo siguiente: “Artículo 15.

Reclamos. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento (…)” (Destacamos) La Corte Constitucional en la sentencia C-748 de 2011 manifestó, entre otras, lo siguiente respecto de la precitada norma: “(…) El derecho de petición que se regula en la norma objeto de análisis se convierte en un instrumento con el que cuenta el titular del dato para hacer exigible o realizable el derecho autónomo de habeas data.

Es por ello que la jurisprudencia constitucional ha definido el derecho de petición como un derecho instrumental a través del cual el ciudadano se acerca a la administración o a aquellos privados que en razón de la actividad que desarrollan ostentan una posición de privilegio sobre el resto de particulares, que obliga al Estado a regular mecanismos que le permitan a estos últimos tener una herramienta que los obligue a responder a las inquietudes e inconformidades que se puedan generar por razón de la actividad que éstos desplieguen, en procura de lograr la satisfacción de otros derechos fundamentales.”22 (Destacamos) Como se observa, dicho artículo sí es aplicable al caso concreto en tanto que la misma permite que el titular del dato presente un reclamo cuando advierta, entre otras, el presunto incumplimiento de los deberes legales establecidos en la citada Ley Estatutaria.

En el proceso quedó demostrado el incumplimiento de la recurrente luego no se ajusta a derecho el argumento de la recurrente. Debe resaltarse que la norma no exige que haya un incumplimiento acreditado de la regulación sobre Protección de Datos, por el contrario, se refiere a “presunto incumplimiento”, por lo cual, la aplicación del mencionado artículo no está subordinada a la declaración de esta Autoridad de que haya un efectivo incumplimiento o al reconocimiento del mismo por parte del Responsable del Tratamiento, pues eso no sólo sería desconocer lo que ordena la ley sino limitar desproporcionadamente el Derecho de Petición de los ciudadanos frente a los Responsables o Encargados del Tratamiento de sus datos personales.

Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones. Comunicación No. 20-80994-36 de 05 de marzo de 2021. Pág. 2. Corte Constitucional. Sentencia C-748 de 2011. M.P. Jorge Ignacio Pretelt Chaljub. HOJA Nº, 8 No debe olvidarse que los ciudadanos no son expertos en derecho y que son los Responsables del Tratamiento quienes deben ser muy diligentes y profesionales en el cumplimiento de los mandatos legales.

Si un Titular del dato presenta un reclamo, al Responsable le corresponde cumplir el deber legal de responderlo de fondo y oportunamente. Atender debidamente las consultas y reclamos de los ciudadanos no es una opción sino una obligación. En síntesis, no le asiste razón al recurrente en relación con los criterios de aplicación del artículo 15 de la Ley Estatutaria 1581 de 2012, pues, como quedó claramente explicado, no se necesita de un incumplimiento acreditado de la regulación de Protección de Datos Personales para que el ciudadano puede ejercer su Derecho de Petición y de Habeas Data en los términos establecidos en la mencionada norma.

De hecho, el Derecho de Petición, incorporado en la Ley Estatutaria 1581 de 2012 en los artículos 14 y 15, integra el derecho a la Protección de Datos Personales y, por tanto, la vulneración de dichas normas, además de constituir una transgresión al Derecho de Petición, se traduce en una violación del régimen del debido tratamiento de los datos personales de los ciudadanos.

3. DEL INCUMPLIMIENTO DEL ARTÍCULO 15 DE LA LEY ESTATUTARIA 1581 DE 2012 POR PARTE DEL BANCO COMERCIAL AV VILLAS S.A. En relación con el derecho de los Titulares a que sean atendidas de manera respetuosa, oportuna, completa y de fondo sus peticiones, quejas o reclamos por parte de los Responsables y Encargados del Tratamiento, el artículo 17 de la Ley Estatutaria 1581 de 2012, en su literal j), establece lo siguiente: “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: ( ) j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley”. (Destacamos) En desarrollo de la anterior disposición, el artículo 15 de la Ley Estatutaria 1581 de 2012 reglamentó el procedimiento que los Responsables y Encargados del Tratamiento deben seguir para dar respuesta a los Titulares de la información ante reclamos de los mismos, de la siguiente manera: “Artículo 15.

El reclamo se formulará mediante solicitud dirigida al Responsable del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas.

Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado. 2.

Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga "reclamo en trámite" y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido. 3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.

Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.” (Destacamos) HOJA Nº, 9 En el caso concreto, en el escrito de queja la Titular anexa como fundamento de sus peticiones copia de la comunicación presentada por ella ante el Banco Comercial Av Villas el 13 de febrero de 2020, con firma de recibido y sello de esa entidad bancaria23, tal y como se muestra a continuación: “(…) (Subrayado fuera del texto) (….)”24 Ante la anterior solicitud por parte de la Titular, que tenía por objeto informar al Banco Comercial AV Villas S.A. el comportamiento de uno de sus empleados, quien sin tener autorización le escribió mensajes a su línea de WhatsApp, lo que para ella era una vulneración a su derecho de Habeas Data y por consiguiente al régimen de Protección de Datos Personales, esta Superintendencia el 28 de mayo de 2020 realizó un requerimiento al Banco Comercial AV Villas S.A. en el que se le preguntó, entre otras cosas, lo siguiente: “De acuerdo con la queja presentada por la denunciante ante la Sucursal del Banco el día 13 de febrero de 2020 y de la cual se anexa una copia, sírvase informar ¿qué acciones fueron tomadas respecto de la actuación del asesor?”25 Como respuesta a esa pregunta, el Banco investigado contestó el 4 de junio de 2020 en el siguiente sentido: “Debido a los hechos descritos por la señora Xxxxxxx Xxxxxxx (sic) Xxxxx y por los cuales se tuvo conocimiento el día 28 de mayo de 2020, mediante oficio Rad: 2080994- 3-1 de la Superintendencia de Industria y Comercio, la Gerencia de Talento Comunicación No. 20-80994-1 del 6 de abril de 2020.

Págs. 1-13 Comunicación No. 20-80994-1 de 6 de abril de 2020. Pág. 5. Comunicación No. 20-80994-3 de 28 de mayo de 2020. HOJA Nº,10 Humano del Banco AV Villas inició proceso disciplinario al señor Xxxxxxxxx Xxxxxxxx, mediante citación a descargos de fecha 03 de Junio de 2020 consecutivo No. 0065-20LG-0541, por medio de la cual se le realizó el traslado de las pruebas pertinentes y se citó al trabajador a diligencia de descargos para el día diecisiete (17) de Junio de 2020 a las 8:30 A.M. (…)”26 (Destacamos) El recurrente, además, anexa la citación para descargos del funcionario involucrado en el incidente del 03 de junio de 2020: “(…) (Subrayado fuera del texto) (…)”27 A su vez, la evidencia de respuesta a la petición de la Titular que reposa en el expediente tiene como fecha el 4 de junio de 2020, como se observa a continuación: “(…) Comunicación No. 20-80994-4 de 4 de junio de 2020.

Pág. 2. Comunicación No. 20-80994-4 de 4 de junio de 2020. Anexo 6. HOJA Nº,11 (Subrayado fuera del texto) (…)”28 Al respecto, la Dirección de Investigación de Protección de Datos Personales, en la Resolución No. 5046 del 10 de febrero de 2021, consideró lo siguiente: “Llama la atención del Despacho que desde la presentación del reclamo, esto es, el 13 de febrero de 2020 y el requerimiento realizado por esta Dirección el día 28 de mayo de 2020, el Banco Av Villas no inició algún tipo de investigación relacionada con los hechos relatados por la quejosa, sólo se iniciaron acciones de tipo disciplinario una vez fue solicitada información por parte de esta Dirección el día 28 de mayo de 2020, tal y como se indicó en líneas anteriores, así, las excusas planteadas por EL BANCO, no son de recibo por parte de esta Dirección en la medida que, las mismas acciones que se iniciaron en el mes de junio de 2020, debieron haberlas realizado en el mes de febrero atendiendo favorablemente o no la petición de la quejosa, pero si haber adelantado por lo menos la investigación que al final se realizó.” Evaluado todo lo que antecede, este Despacho concluye que: i. El Banco Comercial AV Villas S.A. reconoce que tuvo conocimiento de la queja de la Titular hasta el 28 de mayo de 2020, es decir, con ocasión al oficio enviado por esta Superintendencia. Lo anterior, a pesar de que la Titular interpuso el reclamo el día 13 de febrero de 2020, como consta en el sello de recibido del Banco. ii.

La respuesta dada por el Banco al reclamo de la Titular del 4 de junio de 2020 ocurrió después de que esta Superintendencia recibiera la queja de la señora Xxxxxxxx Xxxxxxxx Xxxxx por la presunta vulneración de sus derechos -6 de abril de 2020- y pasados tres (3) meses y 21 días desde la fecha de presentación de su reclamo ante el Banco -13 de febrero de 2020-. iii.

El artículo 15 de la Ley Estatutaria 1581 de 2012 establece un tiempo máximo de respuesta de los reclamos de los Titulares de 15 días hábiles contados a partir del día siguiente a la fecha de su recibo. Por tanto, en este caso el Banco Comercial AV Villas S.A sobrepasó el tiempo previsto en la norma por más de tres (3) meses. iv. Dentro del expediente no se cuenta con prueba alguna que certifique que la Titular recibió respuesta oportuna por parte del Banco Comercial AV Villas S.A. En cuanto a la importancia de que las solicitudes, quejas y reclamos de los Titulares de la información sean contestadas de manera oportuna, debida, respetuosa y de fondo por parte de Responsables y Encargados del Tratamiento, la Corte Constitucional en sentencia C-748 de 2011 indicó lo siguiente: Comunicación No. 20-80994-4 de 4 de junio de 2020.

Anexo 7. HOJA Nº,12 “La jurisprudencia constitucional ha perfilado unas características que debe tener la respuesta para que se entienda satisfecho el derecho de petición, que en el caso de los [R]esponsables como de los [En]cargados del [T]ratamiento están obligados a observar, que se pueden resumir de la siguiente manera: (i) la respuesta debe ser de fondo, es decir, no puede evadirse el objeto de la petición, (ii) que de forma completa y clara se respondan a los interrogantes planteados por el solicitante, (iii) oportuna, asunto que obliga a respetar los términos fijados en la norma.

Así, el derecho de petición que se regula en la norma objeto de análisis se convierte en un instrumento con el que cuenta el titular del dato para hacer exigible o realizable el derecho autónomo de habeas data, siendo definido el derecho de petición como un derecho instrumental a través del cual el ciudadano se acerca a la administración o a aquellos privados que en razón de la actividad que desarrollan ostentan una posición de privilegio sobre el resto de particulares, que obliga al Estado a regular mecanismos que le permitan a estos últimos tener una herramienta que los obligue a responder a las inquietudes e inconformidades que se puedan generar por razón de la actividad que éstos desplieguen, en procura de lograr la satisfacción de otros derechos fundamentales.” (Destacamos) Así las cosas, la actuación del Banco Comercial AV Villas S.A. constituye una clara vulneración al derecho Fundamental de Petición y de Habeas Data de la Titular consagrado en el artículo 15 de la Ley Estatutaria 1581 de 2012, pues el reclamo presentado por la Titular fue contestado de manera extemporánea y solo hasta que esta Autoridad requiriera al Banco Comercial AV Villas S.A. en el marco de esta actuación administrativa, por lo cual, este Despacho comparte las consideraciones realizadas por la Dirección de Investigación de Protección de Datos Personales.

Los derechos de las personas deben respetarse y garantizarse conforme con los mandatos legales y de manera oportuna. Las personas no tienen por qué rogar o insistir ante las empresas para que les respeten sus derechos humanos. No respetar los derechos de los Titulares de los datos es censurable e inadmisible. De ninguna manera se debe tolerar como un comportamiento “normal”, porque sería tanto como “normalizar” la ilegalidad y la violación de los derechos humanos. 4.

LA REGULACIÓN SOBRE DATOS PERSONALES IMPONE CARGAS PROBATORIAS A LOS RESPONSABLES DEL TRATAMIENTO, ENTRE OTRAS, DEMOSTRAR HABER DADO RESPUESTA DEBIDA, RESPETUOSA, OPORTUNA Y DE FONDO A LAS CONSULTAS, QUEJAS Y RECLAMOS DE LOS TITULARES. La regulación colombiana sobre Tratamiento de Datos Personales impone al Responsable de dicho Tratamiento el deber demostrar que ha adoptado medidas efectivas para cumplir la ley (Deber de Responsabilidad demostrada).

Esto se deriva de lo expresamente señalado en el Decreto 1377 de 2013 29 que ordena lo siguiente: “Artículo 26. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto ( )” (Destacamos).

En otras palabras, en materia de tratamiento de datos personales no basta hacer las cosas sino demostrar que se hicieron. Sobre este punto, en la sentencia C-32 del 18 de febrero de 2021 la Corte Constitucional manifestó lo siguiente: “El principio de responsabilidad demostrada, conocido en el derecho comparado como accountability en la protección de datos personales, es incorporado por la legislación interna por el Decreto 1377 de 2013, reglamentario de la Ley 1581 de 2013.

El artículo 26 de esa normativa determina que los responsables del tratamiento de datos personales deberán demostrar, a petición de la Superintendencia de Industria y Comercio, entidad que obra como autoridad colombiana de protección de datos, que han implementado medidas apropiadas y efectivas para cumplir con las citadas normas jurídicas.

( ) “El principio de responsabilidad demostrada, de acuerdo con lo expuesto, consiste en el deber jurídico del responsable del tratamiento de demostrar ante la autoridad de datos que cuenta con la institucionalidad y los procedimientos para garantizar las distintas garantías del derecho al habeas data, en especial, la vigencia del principio de libertad y las facultades de conocimiento, actualización y rectificación del dato personal.” Incorporado en el Decreto Único 1074 de 2012.

HOJA Nº,13 ( ) “[E]l principio de responsabilidad demostrada no se opone a la Constitución, sino que, antes bien, es desarrollo propio de la eficacia del derecho al habeas data. ( ) “ (Destacamos) Referido al Derecho de Petición y su consagración en la Ley de Protección de Datos Personales, artículo 15 de la Ley Estatutaria 1581 de 2012-, esa misma Corte en sentencia C-748 de 2011 resaltó la importancia de que los Responsables y Encargados del Tratamiento, además de tener canales habilitados para recibir las consultas, quejas y reclamos de los Titulares, tengan la capacidad de dejar prueba de haber dado una respuesta respetuosa, oportuna y de fondo: “Los artículos 14 -consultas- y 15 -reclamos- del proyecto de ley regulan los mecanismos de consulta y reclamo del titular del dato o sus causahabientes al responsable o encargado del tratamiento, con el fin de hacer efectivo el derecho al habeas data.

Se señala que: (i) los titulares o sus causahabientes podrán consultar la información personal del titular que repose en cualquier base de datos pública o privada; (ii) los responsables y encargados del tratamiento deben suministrar al titular toda la información contenida en la base de datos bien porque se tenga un registro individual o exista alguna asociada a su identificación;

(iii) el [R]esponsable y el [En]cargado del [T]ratamiento deben tener algún medio habilitado para que la consulta se pueda realizar, el cual debe permitir dejar prueba de ello; (…)” Asegura el recurrente que la Titular sí recibió atención y respuesta a la solicitud que presentó el mismo día que presentó (sic) la solicitud y que, por tanto, la motivación de la sanción no corresponde a la realidad.

Añade que: “quejosa fue atendida de inmediato, en forma personal por la subgerente, se le ofrecieron disculpas, se le pidió poner por escrito su inconformidad y se la ofreció que el gerente la contactaría (pues se encontraba en hora de almuerzo), teniendo en cuenta que la quejosa lo que quería era hablar directamente con él, como ella se lo expresó a la subgerente.

Concluye que: “En suma, el caso fue asumido de inmediato por los funcionarios de la referida oficina Unicentro Cali, quienes no solo atendieron a la mencionada señorita, tanto el 13 como el 14 de febrero, en la primera fecha personalmente y en la segunda vía telefónica, sino que en ese mismo lapso se habían solicitado explicaciones verbales al señor Xxxxxxxx, se le había reconvenido y se habían realizado las prevenciones necesarias para que ese tipo de sucesos no volviera a ocurrir, como en efecto sucedió.”31 No son de recibo las afirmaciones de la recurrente por los siguientes motivos: i. De la supuesta llamada por parte del Gerente de la sucursal del Banco Comercial AV Villas S.A. a la Titular, a la que se refiere el apoderado del Banco en el escrito de apelación, no se tiene prueba, por tanto, resulta imposible para el Despacho conocer el contenido de esa llamada y si la misma corresponde a una respuesta que satisfaga los requerimiento exigidos legal y constitucionalmente para que se entienda cumplido el deber del Responsable del Tratamiento de dar respuesta debida, respetuosa, oportuna y de fondo a los reclamos de la Titular.

En el mismo sentido, tampoco se tiene evidencia de la presunta solicitud de explicaciones verbales al empleado implicado en el incidente dentro de las 24 horas siguientes a lo ocurrido. ii. En todo caso, lo que sí es cierto es que ambos relatos, el del recurrente y el de la Titular, coinciden en que la Titular formuló el reclamo al Banco Comercial AV Comunicación No. 20-80994-36 de 05 de marzo de 2021.

Pág. 3. Comunicación No. 20-80994-36 de 05 de marzo de 2021. Pág. 4. HOJA Nº,14 Villas S.A por escrito el día 13 de febrero de 2020 -este Despacho cuenta con copia de dicho documento-, sin que haya elementos materiales probatorios contundentes respecto a una respuesta oportuna por parte del Banco. En suma, resulta claro que el Banco Comercial AV Villas S.A., teniendo la carga probatoria de demostrar haber dado respuesta debida, oportuna y de fondo al reclamo de la Titular, no acreditó al Despacho evidencia del cumplimiento del deber contenido en el literal j) del artículo 17 y el artículo 15 de la Ley Estatutaria 1581 de 2012.

No es suficiente la sola afirmación del apoderado del Banco de que el Gerente de la sucursal a la que acudió la señora Xxxxxxxx Xxxxxxxx Xxxxx se comunicó con ella telefónicamente y atendió su reclamo dentro de las 24 horas siguientes a la presentación del mismo. Dichas aseveraciones deben ir acompañadas de pruebas fehacientes e irrefutables, que demuestren plenamente el cumplimiento del deber legal.

Esto no sucedió en el presente caso.

5. EL CUMPLIMIENTO DE LAS NORMAS SOBRE PROTECCIÓN DE DATOS PERSONALES NO ESTÁ RELACIONADO CON LOS PROCEDIMIENTOS INTERNOS DISCIPLINARIOS DE LAS ORGANIZACIONES. Menciona el recurrente en su escrito de apelación que: “exigir (…) que el banco se salte los procedimientos internos, donde están previstos derechos colectivos del trabajo, derechos de contradicción y defensa y normas de la convención colectiva del trabajo, para que lo realizado por el banco en el mes de junio hubiera debido hacerse en los pocos días hábiles que transcurrieron entre el 13 y el 29 de febrero, lo cual es un imposible temporal y jurídico.

Con lo cual, concluye que: “tampoco está afortunadamente sustentada la sanción, cuando se afirma que: “las excusas presentadas por EL BANCO, no son de recibo por parte de esta Dirección en la medida que, las mismas acciones que se iniciaron en el mes de junio de 2020, debieron haberlas realizado en el mes de febrero atendiendo favorablemente o no la petición de la quejosa, pero si haber adelantado por lo menos la investigación que al final se realizó””.

Frente al particular, este Despacho se permite aclarar que de ninguna manera lo que evaluó la Dirección de Investigación de Protección de Datos en la Resolución recurrida fue el procedimiento disciplinario con el que cuente el Banco Comercial AV Villas S.A. Por tanto, las fases del mismo y el tiempo que pueda durar no es competencia de esta Delegatura y no fue lo que se estudió en dicha Resolución, ni lo que dio origen a la sanción. Ahora bien, lo anterior no puede confundirse con la inacción del Banco frente a la queja de la Titular, pues, más allá de las afirmaciones del apoderado del recurrente, este Despacho no cuenta con prueba de que al reclamo de la Titular se le haya dado una respuesta oportuna.

En efecto, la Dirección lo que realmente sanciona en la Resolución No. 5046 del 10 de febrero de 2021 es la vulneración del Derecho de Petición y de Habeas Data de la Titular, tal y como se muestra en los considerandos de dicha Resolución: “(…) Al verificar el expediente, encuentra el Despacho que efectivamente, el derecho de petición interpuesto por la quejosa fue contestado el día 4 de junio de 2020, fecha en la que igualmente se dio respuesta a nuestro requerimiento de fecha 28 de mayo de 2020.

Llama la atención del Despacho que desde la presentación del reclamo, esto es, el 13 de febrero de 2020 y el requerimiento realizado por esta Dirección el día 28 de mayo de 2020, el Banco Av Villas no inició algún tipo de investigación relacionada con los hechos relatados por la quejosa, sólo se iniciaron acciones de tipo disciplinario una vez fue solicitada información por parte de esta Dirección el día 28 de mayo de 2020, tal y como se indicó en líneas anteriores, así, las excusas planteadas por EL BANCO, no son de recibo por parte de esta Dirección en la medida que, las mismas acciones que se iniciaron en el mes de junio de 2020, debieron haberlas realizado en el mes de febrero atendiendo favorablemente o no la petición de la quejosa, pero si haber adelantado por lo menos la investigación que al final se realizó. Así, contrario a lo manifestado por el apoderado de EL BANCO la vulneración a las normas de protección de hábeas data no sólo se configura cuando el derecho de petición desatendido está dirigido al amparo del derecho de habeas data de un HOJA Nº,15 titular de actualizar, rectificar o suprimir una información, sino que también se produce, tal y como se dejó dicho en líneas anteriores, cuando el titular advierte al Responsable de un presunto incumplimiento de un deber legal como en este caso sucedió. (…)” (Destacamos)

6. LA PETICIÓN DEL INICIO DE UNA ACTUACIÓN ADMINISTRATIVA POR EL INDEBIDO TRATAMIENTO DE LOS DATOS DE LA TITULAR INCLUYE LA EVALUACIÓN DEL CUMPLIMIENTO DEL DEBER CONTENIDO EN EL LITERAL J) DEL ARTÍCULO 17 DE LA LEY ESTATUTARIA 1581 DE 2012, EN CONCORDANCIA CON EL ARTÍCULO 15 DE LA MISMA NORMA. Afirma el apoderado del Banco Comercial AV Villas S.A. que la Titular no solicitó que se investigara una presunta vulneración del artículo 15 de la Ley Estatutaria 1581 de 2012, sino que, por el contrario, lo que solicitó la Titular fue el “inicio a la apertura de una investigación administrativa de carácter sancionatorio al Banco Av Villas por violación a [sus] datos personales en virtud del indebido y no autorizado tratamiento que se les dio [a los mismos] (…)” Respecto de lo anterior, el Despacho no está de acuerdo con tal afirmación, pues resulta claro que la petición de la Titular de investigar el presunto “indebido (…) Tratamiento de sus datos” necesariamente involucra los deberes del Responsable de dicho Tratamiento, dentro del que está el contenido en el literal j) del artículo 17 de la Ley Estatutaria 1581 de 2012, en concordancia con el artículo 15 de esa misma norma.

En gracia discusión, no debe perderse de vista la potestad sancionatoria de esta Delegatura, que le permite de manera oficiosa adelantar las investigaciones correspondientes para verificar el cumplimiento de la Ley Estatutaria 1581 de 2012. En efecto, tanto el literal b) del artículo 21 de dicha ley, como el artículo 47 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo (Ley 1437 de 2011) ordenan lo siguiente: “ARTÍCULO 21.

FUNCIONES. La Superintendencia de Industria y Comercio ejercerá́ las siguientes funciones: (…) “b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá́ disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos;

( )” (Destacamos) ARTÍCULO

47. PROCEDIMIENTO ADMINISTRATIVO SANCIONATORIO. ( ). Las actuaciones administrativas de naturaleza sancionatoria podrán iniciarse de oficio o por solicitud de cualquier persona. Cuando como resultado de averiguaciones preliminares, la autoridad establezca que existen méritos para adelantar un procedimiento sancionatorio, así lo comunicará al interesado.

( )”. (Destacamos) Adicionalmente, el artículo 22 de la Ley Estatutaria 1581 de 2012 dispone lo que sigue a continuación: “ARTÍCULO 22. TRÁMITE. La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes.” (Destacamos) Respecto de la “potestad sancionatoria”, la Corte Constitucional ha señalado, entre otras cosas, lo siguiente: “El poder sancionador estatal ha sido definido como "un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medios punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos.

HOJA Nº,16 Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre otros, la definición de un procedimiento, así́ sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar.

(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal”32 Así, la Superintendencia de Industria y Comercio, en ejercicio de sus facultades legales, puede iniciar investigaciones administrativas, de oficio o a petición de parte, tendientes a establecer si hay lugar o no a la imposición de una sanción en aras de preservar el orden jurídico y proteger los derechos de las personas.

La Superintendencia de Industria y Comercio obró dentro del marco de sus facultades legales para, de una parte, garantizar a las personas el derecho fundamental de la Protección de Datos Personales y, de otra, respetar el debido proceso en cabeza del recurrente. En línea con lo anterior, tanto la investigación administrativa como la sanción impuesta se hicieron observando lo que ordena la regulación colombiana y no le asiste razón a la recurrente cuando sugiere que esta Autoridad no podía sancionar al Banco por el incumplimiento del deber consagrado en el literal j) del artículo 17 de la Ley Estatutaria 1581de 2012, en consonancia con el artículo 15 de esa misma Ley.

7. DE LA GRADUACIÓN Y PROPORCIONALIDAD DE LA SANCIÓN. Según la Corte Constitucional, “es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.

Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas”33 En primer lugar, se resalta que el monto de la multa impuesta al Banco Comercial AV Villas S.A. es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa.

A lo largo de la presente actuación se logró demostrar que dicho Banco vulneró el deber contenido en el literal j) del artículo 17 de la Ley Estatutaria 1581 de 2012 en concordancia con el artículo 15 de esa misma Ley, al probarse que no dio respuesta a la solicitud de la Titular dentro del término establecido en la norma para hacerlo. Ahora, el artículo 23 34 de la Ley Estatutaria 1581 de 2012 determina las sanciones que puede imponer esta Superintendencia a los Responsables y Encargados del Tratamiento.

Revisado el expediente y el contenido de la resolución recurrida, es claro que, de los criterios de graduación Cfr. Corte Constitucional. Sentencia C-748 de 2011. M.P. Jorge Ignacio Pretelt Chaljub. Cfr. Corte Constitucional, sentencia C-818 del 9 de agosto de 2005. MP. Dr. Rodrigo Escobar Gil. En: https://www.corteconstitucional.gov.co/relatoria/2005/C-818-05.htm Artículo 23.

Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”.

HOJA Nº,17 contenidos en el artículo 24 de la Ley Estatutaria 1581 de 2012, se tuvo en cuenta aquél que habla de la dimensión del daño o peligro a los intereses jurídicamente tutelados, pues efectivamente se probó que el Banco Comercial AV Villas S.A. incumplió el deber mencionado. Por su parte, los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley Estatutaria 1581 de 2008 no fueron tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que el investigado hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

Respecto del criterio de atenuación establecido en el literal f) del artículo 24 su aplicación fue descartada en la medida que el Banco Comercial AV Villas S.A. a lo largo de la actuación no reconoció o aceptó expresamente la comisión de la infracción antes de la imposición de la sanción. Así las cosas, se observa que el monto de la sanción en el citado acto administrativo es proporcional en consideración a los hechos que le sirvieron de causa y la motivación del acto recurrido.

No sobra señalar que la sanción aquí impuesta tiene como objetivo que el Banco en el futuro no incurra en violaciones al derecho de hábeas data de los Titulares de la información y, en su defecto, cumpla a cabalidad con las disposiciones de la Ley Estatutaria 1581 de 2012 y demás normas que rigen el sistema de Protección de Datos Personales en Colombia.

Finalmente, resulta pertinente resaltar lo siguiente: i. La multa de $ 10.892.400 equivale al 0,59% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley Estatutaria 1581 de 2012). ii. El monto de dicha sanción es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa.

Así como del incumplimiento de los deberes impuestos por la Ley Estatutaria 1581 de 2012 a los Responsables del Tratamiento de los Datos Personales. iii. La Resolución recurrida fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas. Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de Habeas Data del Titular y en particular los mandatos legales señalados. iv.

Las sanciones que se imponen dentro de esta clase de procesos no derivan de los daños o perjuicios causados a los Titulares por incumplir la regulación sobre Tratamiento de Datos Personales. Es decir, las normas que protegen el derecho de habeas data o Protección de Datos Personales no se refieren a la responsabilidad civil de los Responsables del Tratamiento de Datos. v. La vulneración del derecho de Habeas Data o la Protección de Datos Personales no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad.

Por esto, las sanciones no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios. Esto, en razón a que existe de por medio una trasgresión flagrante a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.

Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad” 35 Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”.

No debe olvidarse que el respeto Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos. HOJA Nº,18 de los Derechos Humanos es un elemento esencial de la democracia 36Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general.

CONCLUSIONES Sin perjuicio de lo establecido, no se accederá a las pretensiones del recurrente por, entre otras, las siguientes razones: i. No debe olvidarse que los ciudadanos no son expertos en derecho y que son los Responsables del Tratamiento quienes deben ser muy diligentes y profesionales en el cumplimiento de los mandatos legales.

Si un Titular del dato presenta un reclamo, al Responsable le corresponde cumplir el deber legal de responderlo de fondo y oportunamente. Atender debidamente las consultas y reclamos de los ciudadanos no es una opción sino una obligación. ii. El artículo 15 de la Ley Estatutaria 1581 de 2012 contiene la consagración en la Ley de Protección de Datos Personales del Derecho Fundamental de Petición dispuesto en el artículo 23 de la Constitución Política, el cual no solamente debe materializarse ante presuntos incumplimientos de la regulación sobre Protección de Datos, sino que, al ser un instrumento para el ejercicio del Derecho de Habeas Data, es aplicable aún y cuando no haya una vulneración de una norma en concreto y siempre que el ciudadano presente una queja o reclamo al Responsable o Encargado del Tratamiento relacionada con el ejercicio de su derecho a la Protección de Datos. iii.

El artículo 15 de la Ley Estatutaria 1581 de 2012 no exige que haya un incumplimiento acreditado de la regulación sobre Protección de Datos, por el contrario, se refiere a “presunto incumplimiento”, por lo cual, la aplicación del mencionado artículo 15 no está subordinada a la declaración de esta Autoridad de que haya un efectivo incumplimiento o al reconocimiento del mismo por parte del Responsable del Tratamiento, pues eso sería limitar desproporcionadamente el Derecho de Petición de los ciudadanos. iv.

El Banco Comercial AV Villas S.A. reconoce que tuvo conocimiento de la queja de la Titular hasta el 28 de mayo de 2020, es decir, con ocasión al oficio enviado por esta Superintendencia. Lo anterior, a pesar de que la Titular interpuso el reclamo el día 13 de febrero de 2020, como consta en el sello de recibido del Banco. v. La respuesta dada por el Banco Comercial AV Villas S.A. al reclamo de la Titular el 4 de junio de 2020 ocurrió después de que esta Superintendencia recibiera la queja de la señora Xxxxxxxx Xxxxxxxx Xxxxx por la presunta vulneración de sus derechos -6 de abril de 2020- y pasados tres (3) meses y 21 días desde la fecha de presentación de su reclamo ante el Banco -13 de febrero de 2020-.

Por lo tanto, el Banco Comercial AV Villas S.A sobrepasó el tiempo previsto en la norma -artículo 15 de la Ley Estatutaria 1581 de 2012- de 15 hábiles contados a partir del día siguiente a la fecha de su recibo, lo que se traduce en un incumplimiento grave de la Ley de Protección de Datos. vi. Los derechos de las personas deben respetarse y garantizarse conforme con los mandatos legales y de manera oportuna.

Las personas no tienen por qué rogar o insistir antes las empresas para que les respeten sus derechos humanos. No respetar los derechos de los Titulares de los datos es censurable e inadmisible. De ninguna manera se debe tolerar como un comportamiento “normal”, porque sería tanto como “normalizar” la ilegalidad y la violación de los derechos humanos. Artículo de la Carta Democrática Interamericana http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm la cual se puede consultar en: vii.

HOJA Nº,19 La regulación colombiana sobre Tratamiento de datos impone al Responsable del Tratamiento el deber demostrar que ha adoptado medidas efectivas para cumplir la ley (Deber de Responsabilidad demostrada). Esto se deriva de lo expresamente señalado en el Decreto 1377 de 2013 37 que ordena lo siguiente: “Artículo 26. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto ( )” (Destacamos).

En materia de tratamiento de datos personales no basta hacer las cosas sino demostrar que se hicieron. viii. El Banco Comercial AV Villas S.A., teniendo la carga probatoria de demostrar haber dado respuesta debida, oportuna y de fondo al reclamo de la Titular, no acreditó al Despacho evidencia del cumplimiento del deber contenido en el literal j) del artículo 17 y el artículo 15 de la Ley Estatutaria 1581 de 2012.

No es suficiente la sola afirmación del apoderado. Dichas aseveraciones deben ir acompañadas de pruebas fehacientes e irrefutables, que demuestren plenamente el cumplimiento del deber legal. Esto no sucedió en el presente caso. ix. La petición de la Titular de investigar el presunto “indebido (…) Tratamiento de sus datos” necesariamente involucra los deberes del Responsable de dicho Tratamiento, dentro del que está el contenido en el literal j) del artículo 17 de la Ley Estatutaria 1581 de 2012, en concordancia con el artículo 15 de esa misma norma.

En todo caso, no debe perderse de vista la potestad sancionatoria de esta Delegatura que le permite de manera oficiosa adelantar las investigaciones correspondientes para verificar el cumplimiento de la Ley Estatutaria 1581 de 2012. x. La multa impuesta de $ 10.892.400 equivale al 0,59% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley Estatutaria 1581 de 2012).

De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirma en su integridad la Resolución No. 5046 del 10 de febrero de 2021. En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO PRIMERO. CONFIRMAR la Resolución No. 5046 del 10 de febrero de 2021, de conformidad con lo expuesto en la parte motiva del presente acto administrativo.

ARTÍCULO SEGUNDO. NOTIFICAR personalmente el contenido de la presente resolución al Banco Comercial AV Villas S.A., identificado con Nit. No. 860.035.827-5, a través de su representante legal o su apoderado o quien haga sus veces, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.

ARTÍCULO TERCERO. COMUNICAR la presente decisión a la señora Xxxxxxxx Xxxxxxxx Xxxxx, identificada con CC. No. x.xxx.xxx.xxx entregándole copia de esta resolución. Incorporado en el Decreto Único 1074 de 2012 HOJA Nº,20 ARTICULO CUARTO. INFORMAR el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.

NOTIFÍQUESE, COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C, enero 27 de 2022 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES Firmado NELSON digitalmente por REMOLINA REMOLINA NELSON ANGARITA 2022.01.27 ANGARITA Fecha: 16:05:06 -05'00' NELSON REMOLINA ANGARITA MEGD Notificación: Sociedad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: Banco Comercial AV Villas S.A. Nit.

No. 860.035.827-5 Carlos Ernesto Pérez Buenaventura C.C. No. 79.141.430 Carrera 13 No. 26 A - 47, piso 1. Bogotá. D.C. notificacionesjudiciales@bancoavvillas.com.co Apoderado Especial: Identificación: Tarjeta profesional: Dirección: Ciudad: Correo electrónico: Xxxx Xxxxxxx Xxxxxxxxxxx Xxxxxxx C.C. No. xx.xxx.xxx xx.xxx del C.S. de la J. Xxxxxxx xx No. xxX-xx Xxxxxxx xxx Xxxxxx X.X. xxxxxxxx.xxxxxxxxxxx@xxxxxxxxxxxxxxxx.xxx Comunicación: Señora: Identificación: Dirección: Ciudad: Correo electrónico: Xxxxxxxx Xxxxxxxx Xxxxx C.C. No. x.xxx.xxx.xxx.

Xxxxxxx xx X No. xX-xx, xxxxxxxxxxx xxx. Xxxx, Xxxxx xxx Xxxxx. xxxxxxxx.xxxxxxxxx.xxxxx@xxxxx.xxx HOJA Nº,21

Resolución sancionatoria N° 2202 de 2022

CONSIDERANDO

RESUELVE