(18 de julio de 2025) “Por la cual se impone una sanción y se imparten órdenes administrativas” Radicación 22-482908 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022 y,
CONSIDERANDO
PRIMERO: Que, esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad BANCO DAVIVIENDA S.A., identificada con Nit 860.034.313-7 (la investigada), por lo que decidió iniciar investigación administrativa con base en los hechos advertidos en la denuncia interpuesta por la señora xxxxxxxxxxxxxxxxxxxxxxx.
De la comunicación recibida se extrajeron los siguientes supuestos fácticos: 1.1 “El señor xxxxxxxxxxx asesor de esta prestigiosa entidad, se prestó para entregar datos privados los cuales son de interés únicamente del banco y míos como titular del producto que tengo con tan prestigiosa entidad para los debidos trámites que yo como titular requiera realizar de manera presencial.
(…) En el momento en que entregó información de mi crédito bancario al señor xxxxxxxxxxxxx, quien es padre mío, a quien NO le he otorgado ninguna clase de autorización y/o poder amplio o específico por escrito o verbal, para tales efectos, los hechos se presentaron el día 10 Agosto (sic) de 2022 en las oficinas físicas de Davivienda donde está asignado el funcionario en relación. Donde mi señor padre contactó al señor xxxxxxxxxxxx para solicitarle toda información referente a mis productos crediticios dentro de la entidad, en aras de tener de primera mano la información para poder realizar negocio de venta del inmueble, el cual esta (sic) a mi nombre con prenda en esta entidad”
SEGUNDO: Que, dentro de la actuación administrativa adelantada por el Grupo de Trabajo de Investigaciones Administrativas, se recolectaron los elementos materiales de prueba que se enlistan a continuación: 2.1 Requerimiento de información enviado por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la sociedad BANCO DAVIVIENDA S.A., radicada bajo el número 22-482908-6 del 14 de febrero de 2022.
“Por la cual se impone una sanción y se imparten órdenes administrativas”. 2.2. Respuesta al requerimiento de información remitida por la sociedad BANCO DAVIVIENDA S.A., radicada bajo los números 22-482908 consecutivos 7, 8, 9, 10 y 11 de los días 02 y 03 de marzo de 2022. 2.3 Requerimiento de información enviado por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la denunciante, radicada bajo el número 22-482908-12 del 09 de agosto de 2023. 2.4 Requerimiento de información enviado por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la sociedad BANCO DAVIVIENDA S.A., radicada bajo el número 22-482908-13 del 09 de agosto de 2023. 2.5 Requerimiento de información enviado por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la denunciante, radicada bajo el número 22-482908-16 del 24 de octubre de 2023. 2.6 Requerimiento de información enviado por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la sociedad BANCO DAVIVIENDA S.A., radicada bajo el número 22-482908-17 del 24 de octubre de 2023. 2.7 Respuesta al requerimiento de información entregada por la denunciante, bajo el radicado 22- 482908- 20 del 25 de octubre de 2023. 2.8 Respuesta al requerimiento de información remitida por la sociedad BANCO DAVIVIENDA S.A., radicada bajo el número 22-482908-21 del 09 de noviembre de 2023.
TERCERO: Que, con base en los hechos anotados y de acuerdo con las pruebas recaudadas en la etapa preliminar de esta investigación, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales, mediante Resolución 24068 del 14 de mayo de 2024 se le formuló el cargo único a la sociedad BANCO DAVIVIENDA S.A. por la presunta contravención de lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con los señalado en el literal g) del artículo 4 ibidem y el artículo 2.2.2.25.6.1 del Decreto Único reglamentario 1074 de 2015.
Que la mencionada resolución le fue notificada a EFRAÍN ENRIQUE FORERO FONSECA, en representación de la sociedad investigada, mediante Aviso 8084 del 23 de mayo del 2024, según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia obrante bajo el radicado 22-482908-29 del 23 de mayo de 2024.
CUARTO: Que, la sociedad BANCO DAVIVIENDA S.A., por medio de su representante legal presentó escrito de descargos, obrante bajo los radicados 22-482908 consecutivos 30 y 31 del 17 de junio de 2024, a través de los cuales expresó, entre otras cosas, lo siguiente: 4.1. En primer lugar, manifiesta que “(…) de acuerdo con lo indicado por el Despacho en la Resolución y, según las normas aplicables, le compete a Davivienda probar que actuó de manera diligente, estableciendo políticas y procedimientos adecuados, así como medidas de carácter técnico, humano y administrativo, con el fin de propender por la seguridad de la información de los Titulares y que, la situación acontecida con la Titular, se debió a un acto de un funcionario puntual que, a pesar de contar con la debida capacitación e instrumentos a su disposición para asegurar el debido tratamiento y seguridad de los datos de la Titular, omitió sus obligaciones, pasando por alto los procedimientos establecidos por Davivienda (…)” 4.2 A continuación, detalla los antecedentes que dieron origen a la presente investigación administrativa de carácter sancionatorio, exponiendo que “El día 10 de agosto de 2022 el funcionario xxxxxxxxxxxxxxxxxx, en adelante (el funcionario) identificado con cédula de ciudadanía xxxxxxxxxxxx, vinculado con Davivienda desde el año 1999 (se adjunta Contrato de trabajo como Anexo 2) y quien se desempeñaba como informador de la oficina Carrera 10 de la ciudad de Bogotá, atendió en las instalaciones de esta sucursal al señor xxxxxxxxxxxx, “Por la cual se impone una sanción y se imparten órdenes administrativas”. padre de la Titular y a quien ya conocía de tiempo atrás, por haber sido compañeros de trabajo y haber desarrollado un vínculo de amistad.
El señor xxxxxxxxxxxxxxx solicitó al funcionario consultar el estado de un crédito hipotecario de su hija, la señora xxxxxxxxxxxxxxxxxxxxx (en adelante la Titular), arguyendo que él, aunque no aparecía como titular del crédito, era quien realizaba el pago de las cuotas de este crédito. En virtud del vínculo de amistad y la relación de confianza existente entre el funcionario y el señor xxxxxxxxxxxxxx, el funcionario procedió a realizar la consulta del estado de este crédito hipotecario de la Titular, omitiendo los procedimientos establecidos por Davivienda para la consulta de información de los clientes del Banco, el cual exigía la presencia de la Titular o el poder que autorizase a un tercero -en ese caso al señor xxxxxxxxxxx- para la respectiva consulta.
En consecuencia, el funcionario realizó un total de dos consultas a la información de la Titular, el día 10 de agosto de 2022 a las 13:43 y 15:02, esto a través del aplicativo Cliente 360 (…) 4.3. En virtud de lo descrito, expone que “Davivienda dio inicio a la investigación de lo sucedido e informa a la Titular del inicio de su actuación a través de las validaciones del caso con el fin de dar respuesta de fondo a su queja.
El día 22 de febrero de 2023 -como se verifica en el Informe de Auditoría Especial de Conductas Laborales, el exfuncionario es citado a través de la aplicación corporativa Meet para esclarecer lo ocurrido. En dicha reunión, manifiesta no recordar quién es la Titular, sin embargo, al ser preguntado si conoce al señor xxxxxxxxxx, indica que es un ex compañero del Banco y que la Titular del crédito es su hija.
A su vez, manifiesta que no recuerda la consulta realizada el 10 de agosto de 2022, pero que es probable que se trate de una información por mora en un crédito que le solicitó el señor xxxxxxxxxxxxxxxxx en alguna oportunidad. De acuerdo con lo indicado por el funcionario, a través de correo electrónico corporativo (incluido en el Informe de Auditoría Especial de Conductas Laborales que se anexa) se solicita al funcionario aportar el soporte de la autorización para la consulta otorgada por la Titular, sin embargo, el funcionario informa que no cuenta con el soporte que le permita justificar la consulta realizada”. 4.4 Frente a los cargos formulados por esta Dirección, expresa que “(…) Davivienda estableció desde el mismo momento del contrato laboral con el exfuncionario, las obligaciones relativas a la confidencialidad de la información de sus clientes y la responsabilidad del exfuncionario de evitar un acceso por terceros no autorizados y el funcionario tuvo la oportunidad de conocer desde el inicio de su vinculación, las obligaciones que se le asignaban frente a la información custodiada por Davivienda.
(…) La consulta del exfuncionario y su entrega de información al señor xxxxxxxxx no fue consecuencia de la inexistencia de un procedimiento reglado para la atención de este tipo de solicitudes, por el contrario, fue un desconocimiento de los lineamientos que deben seguir los informadores, en este caso para la consulta del Aplicativo 360 de Davivienda.
(…) Una vez explicadas las obligaciones del exfuncionario, las instrucciones entregadas por Davivienda a través de Políticas y Manuales, la existencia de un Programa Integral de Gestión de Datos y la sensibilización adelantada a través de diferentes sesiones de capacitación al funcionario, es importante tener en cuenta un elemento unilateral que resultó determinante para la generación de los hechos que dan lugar a la presente investigación: en este caso, el acceso a la información de la Titular y su entrega al señor xxxxxxxxxxxxx, se debió a una “Por la cual se impone una sanción y se imparten órdenes administrativas”. conducta puntual e individual, por fuera de todos los lineamientos de Davivienda, a través de la cual, el exfuncionario xxxxxxxxxxxxxxxxxx, motivado por una relación de amistad y confianza con el padre de la titular, ignoró las políticas, procedimientos, lineamientos y códigos de conducta de Davivienda y decidió consultar la información financiera de la Titular y hacer entrega de ella sin contar con la debida autorización y correspondiente validación de identidad”. 4.5.
Concluye su escrito, asegurando que “Davivienda actuó de forma diligente, no sólo estableciendo obligaciones contractuales claras, sino proporcionando todos los instrumentos, herramientas y capacitaciones necesarias para que el trabajador actuara acorde a derecho. Lo anterior como parte de un Programa Integral de Protección de Datos Personales activo y comprometido con el continuo refuerzo de la cultura de datos personales en la organización y frente a la seguridad de la información, la implementación de medidas técnicas, humanas y administrativas con miras a evitar eventos de uso, consulta no autorizada, adulteración, pérdida o destrucción de la información”.
QUINTO Que mediante Resolución 35271 del 10 de junio de 2025, este Despacho procedió a incorporar las pruebas obrantes en el expediente, declaró agotada la etapa probatoria y le corrió traslado a la sociedad BANCO DAVIVIENDA S.A. para que, de encontrarlo procedente, presentara los respectivos alegatos de conclusión. Así las cosas, las pruebas incorporadas son las siguientes: 5.1 Pruebas recaudadas por esta Dirección: 5.1.1 Requerimiento de información enviado por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la sociedad BANCO DAVIVIENDA S.A., radicada bajo el número 22-482908-6 del 14 de febrero de 2022. 5.1.2 Respuesta al requerimiento de información remitida por la sociedad BANCO DAVIVIENDA S.A., radicada bajo los números 22-482908 consecutivos 7, 8, 9, 10 y 11 de los días 02 y 03 de marzo de 2022. 5.1.3 Requerimiento de información enviado por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la denunciante, radicada bajo el número 22-482908-12 del 09 de agosto de 2023. 5.1.4 Requerimiento de información enviado por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la sociedad BANCO DAVIVIENDA S.A., radicada bajo el número 22-482908-13 del 09 de agosto de 2023. 5.1.5 Requerimiento de información enviado por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la denunciante, radicada bajo el número 22-482908-16 del 24 de octubre de 2023. 5.1.6 Requerimiento de información enviado por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la sociedad BANCO DAVIVIENDA S.A., radicada bajo el número 22-482908-17 del 24 de octubre de 2023. 5.1.7 Respuesta al requerimiento de información entregada por la denunciante, bajo el radicado 22- 489908- 20 del 25 de octubre de 2023. 5.1.8 Respuesta al requerimiento de información remitida por la sociedad BANCO DAVIVIENDA S.A., radicada bajo el número 22-489908-21 del 09 de noviembre de 2023. 5.2 Pruebas aportadas por la sociedad investigada 5.2.1 Pruebas al interior del escrito de descargos “Por la cual se impone una sanción y se imparten órdenes administrativas”. 5.2.1.1 Imagen de extracto del contrato del señor xxxxxxxxxxxxxx, obrante a folios 6 y 7. 5.2.1.2 Imagen tomada del Código de Ética de la sociedad investigada, obrante a folio 8. 5.2.1.3 Imagen descriptiva del modelo de protección de datos de la sociedad investigada, obrante a folio 10. 5.2.2 Pruebas aportadas junto con el escrito de descargos 5.2.2.1 Documento denominado xxxxxxxxxxxxxxxxxxx-CONTRATO LABORAL Y CLÁUSULAS ADICIONALES. 5.2.2.2 Documento denominado “Informe de Auditoría Violación Reserva Bancaria”. 5.2.2.3 Documento denominado “Citación a diligencia de descargos”. 5.2.2.4 Documento denominado “Reglamento Interno de Trabajo”. 5.2.2.5 Documento denominado “Acta diligencia de descargos”. 4.2.2.6 Documento denominado “Suspensión Firmada xxxxxxxxxxxxxxx” 4.2.2.7 Documento denominado “Davivienda Código Disciplinario 2021”. 4.2.2.8 Copia de la Política de Tratamiento de Datos Personales del Banco Davivienda. 4.2.2.9 Copia del Manual de Protección de Datos Personales del Banco Davivienda. 4.2.2.10 Copia del Código de Ética del Grupo Bolívar. 4.2.2.11 Documento denominado “extracto manual de seguridad”. 4.2.2.12 Archivo en formato Excel denominado “Datos xxxxxxxx 2017” 4.2.2.13 Archivo xxxxxxxxxxx” en formato Excel denominado “Historial académico La mencionada resolución le fue comunicada a la sociedad investigada el día 10 de junio de 2025, de conformidad con la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, obrante bajo el radicado 22-482908 -35 del 11 de junio de 2025.
SEXTO: Que, dentro del término concedido para el efecto, por conducto de su representante legal, mediante escrito radicado bajo el número 22-482908-36 del 26 de junio de 2025, presentó sus respectivos alegatos de conclusión por medio de los cuales reiteró lo expresado en el escrito de descargos.
SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 17 de la Ley 1266 de 2008, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.
“Por la cual se impone una sanción y se imparten órdenes administrativas”.
OCTAVO: Análisis del caso 8.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20111, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato.
(…)” (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012. (ii) De conformidad con los hechos alegados por la denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado en el literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con los señalado en el literal g) del artículo 4 ibidem y el artículo 2.2.2.25.6.1 del Decreto Único reglamentario 1074 de 2015.
En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por la denunciante, los argumentos de hechos y de derecho esgrimidos por la sociedad investigada, así como el conjunto de pruebas allegadas al expediente. 8.2 Valoración probatoria y conclusiones 8.2.1.
Respecto del deber de conservar la información bajo las medidas de seguridad necesarias para evitar el acceso de terceros no autorizados por su respectivo titular. El deber consagrado en el literal d) del artículo 17 de la Ley 1581 de 2012 hace referencia a las medidas de seguridad que deben adoptar los Responsables del Tratamiento a efectos de garantizar que la información administrada no sea divulgada, adulterada, consultada o expuesta de manera inconsulta o no autorizada por su Titular, dicho precepto se armoniza con el principio de seguridad, contenido en el literal g) del artículo 4 de la misma disposición, normatividad que a su vez ha sido objeto de especial atención por parte de la Corte Constitucional, tal como quedó reflejado en la Sentencia C-748 de 2011, así: “De este principio se deriva entonces la responsabilidad que recae en el administrador del dato.
El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad internacional, en razón del efecto “diluvio de datos” a través del cual día a día la masa de datos personales existente, objeto de tratamiento y de ulteriores transferencias, no cesa de aumentar. Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se 1 Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008.
M.P.: Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduación “Por la cual se impone una sanción y se imparten órdenes administrativas”. encuentran sólo sencillas bases de datos, sino que surgen nuevos fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros.
Elo también aumenta los riesgos de filtración de datos, que hacen necesarias la adopción de medidas eficaces para su conservación. Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre. En estos términos, el Responsable o Encargado del Tratamiento debe tomar las medidas acordes con el sistema de información correspondiente.
(…)2”(Se destaca). En el caso bajo estudio se pudo establecer que el 10 de agosto de 2022, el funcionario del Banco Davivienda, xxxxxxxxxxxxxxxxxxx, suministró información relativa al estado del crédito hipotecario de la Titular xxxxxxxxxxxxxxxxxxxx al señor xxxxxxxxxxxxxxx, su progenitor, sin que mediara una autorización previa para ese fin.
Frente a lo descrito, la sociedad investigada expresó en sus descargos que “el funcionario (hoy exfuncionario) involucrado faltó abiertamente a las obligaciones y deberes de confidencialidad y debido tratamiento de los datos personales, contraídos a través de su Contrato de Trabajo, y en contravía de los Códigos de la organización. ii. Davivienda cuenta con Políticas y Procedimientos implementados como parte de su programa integral de gestión de datos personales, los cuales fueron oportunamente socializados y eran claramente conocidos por el funcionario al momento de cometer la falta. iii.
No obstante, para el funcionario prevaleció su vínculo de amistad, con el tercero involucrado en la situación presentada, sobre sus obligaciones con Davivienda, actuando por fuera del marco ético y normativo establecido y conocido por él y aprovechándose de las funciones del cargo que ostentaba para beneficiar a este tercero. Así, la situación ocurrida con la información de la Titular correspondió a un suceso aislado, derivado del comportamiento errado del exfuncionario de la entidad, quien, a pesar de conocer las políticas y los procedimientos de Davivienda frente a la consulta y entrega de información a terceros, omitió abiertamente sus obligaciones en razón de una relación de amistad y confianza con el señor xxxxxxxxxxx, padre de la Titular3.
Como sustento de sus afirmaciones aportó a la presente investigación un extracto del otrosí suscrito por el funcionario, documento que se cita a continuación: Sentencia C-748 del 06 de octubre de 2011. Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb. Escrito de descargos obrante bajo el radicado 22-482908-31 del 17 de junio de 2024.
“Por la cual se impone una sanción y se imparten órdenes administrativas”. Sobre el particular, aseguró al Despacho que “Lo anterior evidencia que Davivienda, desde el inicio de sus relaciones laborales con sus colaboradores, establece obligaciones claras respecto de la confidencialidad y la seguridad de la información de sus clientes, siendo claro para los colaboradores el deber que tienen frente a la información a la que tienen acceso como parte del desarrollo habitual de sus funciones.
Esto se suma a la existencia en Davivienda de un Código Disciplinario (Anexo 5) y un Código de Ética del Grupo Empresarial Bolívar, del que hace parte el Banco Davivienda (Anexo 6), que se integran a los lineamientos que deben tener en cuenta los colaboradores en sus actividades. Estos buscan que los funcionarios comprendan la gravedad de sus faltas y los comportamientos esperados por la Compañía. En el caso del exfuncionario, su comportamiento no sólo fue violatorio del Código Disciplinario (Artículos 15, numeral 4 y 23, numerales 4, 9 y 12, sino que además defraudó la confianza y actuar esperado de Davivienda, indicado en el Código de Ética así: En adición a esto, pone de presente la existencia de medidas y procedimientos internos frente a la protección de los datos personales y las instrucciones para consulta de información de titulares, precisando que “la consulta del exfuncionario y su entrega de información al señor xxxxxxxxxxxxx no fue consecuencia de la inexistencia de un procedimiento reglado para la atención de este tipo de solicitudes, por el contrario, fue un desconocimiento de los lineamientos que deben seguir los informadores, en este caso para la consulta del Aplicativo 360 de Davivienda.
Así, como lo señala el mismo funcionario en el Acta de Descargos, el informador que recibe la consulta debe asegurarse de que la persona que solicita la información tenga un soporte de la autorización del Titular, pedir la cédula de quien ha sido autorizado, validar que el número se encuentre en el documento “Por la cual se impone una sanción y se imparten órdenes administrativas”. soporte de la autorización, hacer biometría al autorizado y verificar su firma contra el sistema.
De no encontrar la firma registrada, se deberá comunicar al cliente y verificar la autorización tomando como base el registro de número telefónico en la Aplicación. De otra parte, expone en relación con la socialización de los procedimientos implementados por esa corporación, que “(…) Davivienda también elabora, actualiza, y pone a disposición de todos sus colaboradores políticas y procedimientos especiales como parte de su debida diligencia y compromiso con la implementación de un Programa Integral de Datos Personales y de elementos que permitan a los colaboradores comprender e implementar las medidas necesarias con el fin proteger la información de los Titulares.
(…) Lo anterior se evidencia en el Acta de descargos del exfuncionario, en la cual indica expresamente su conocimiento frente las plataformas intranet, conecta, Vi, en donde se ponen a su disposición los manuales y circulares de Davivienda, así como la normatividad de seguridad aplicable al cargo que desempeñaba. Con base en lo anterior, es importante destacar que Davivienda cuenta con un Manual de Protección de Datos Personales (Anexo 7) aprobado por la alta dirección, en el cual se establecen las obligaciones de los colaboradores teniendo en cuenta la Política de Tratamiento de Datos Personales de la Compañía, el tratamiento que realizan las diferentes áreas y las obligaciones de la Compañía como Responsable del Tratamiento.
En dicho Manual se destacan entre otras disposiciones, la obligatoriedad de su aplicación para los colaboradores (art. 4), los principios rectores para el tratamiento, dentro del cual se encuentra el principio de seguridad (Artículo 11), los usos autorizados para el tratamiento de los datos personales, indicando que debe realizarse “De manera lícita y transparente en relación con las personas” (Artículo18.3), las personas a quienes se les puede suministrar la información (Artículo 18.4) y el procedimiento para consultas y reclamos (Art. 19”)”.
Ahora, una vez analizada la documentación aportada (Programa Integral de Protección de Datos) por la sociedad, se puede observar lo siguiente: Prueba documental Observaciones Referencia Reglamento Interno -Incluye previsiones respecto al uso y Anexo 4 de Trabajo conservación adecuado de la información por parte de los empleados del Banco Davivienda.
Código de ética -Detalla las conductas contrarias a los Anexo 6 valores corporativos de la Compañía, dentro de los cuales se incluye el uso indebido de la información confidencial. Manual de Protección -No se acredita la fecha de emisión Anexo 7 de Datos Personales del documento, por tanto, no se puede establecer si esta fue previa o subsiguiente a la ocurrencia de los hechos materia de investigación. -Respecto al deber objeto del presente cargo, el Manual señala que “Las medidas de seguridad implementadas para impedir la adulteración, pérdida, consulta o uso no autorizado se encuentran en los manuales internos que han desarrollado las previsiones propias “Por la cual se impone una sanción y se imparten órdenes administrativas”. de la Circular Básica Jurídica de la Superintendencia Financiera de Colombia”.
(énfasis añadido) Política de -Se aprecian idénticas definiciones Anexo 8 Tratamiento de Datos respecto al deber de seguridad a Personales aquellas descritas en la Ley de Protección de Datos 1581 de 2012. Manual de Seguridad -Se aportan extractos de los Anexo 9 de la Información y manuales de seguridad Ciberseguridad implementados por la investigada, sin embargo, se trata de imágenes incompletas que no permiten conocer en detalle los procedimientos implementados.
Así mismo, se advierte que, si bien al interior de los anexos remitidos por la sociedad investigada se observan adicionalmente unos archivos en formato Excel y PDF en los que se visualizan registros de las capacitaciones recibidas por el funcionario que materialmente ejecutó la conducta objeto de reproche, los mencionados documentos no permiten conocer el contenido y alcance de estas. • • • • • • • • Capacitación – Seguro y Confiable Capacitación - Brief Seguro y Confiable (Protección de Datos Personales) Capacitación - Data cracks_ Guardianes de los Datos.
Seguridad de la Información y Ciberseguridad Capacitación - BRION_Protección de datos Capacitación – Ley Borrón y cuenta nueva Mundo Protección de Datos Capacitación - BR_ION_SEGURIDAD DE LA INFORMACIÓN Y CIBERSEGURIDAD En el mismo sentido, es necesario señalar que el material probatorio aportado por la sociedad investigada expone las estipulaciones contenidas en los diferentes manuales y políticas, en el contrato laboral del empleado en cuestión, suscrito entre otras cosas en el año 1999, otrosíes, cláusulas etc. referentes a la obligación de guardar confidencialidad sobre la “reserva bancaria”4 a cargo de los colaboradores de la Compañía, pero no exhibe al Despacho de manera clara y detallada cuáles son, esas medidas técnicas y administrativas implementadas para garantizar el cabal cumplimiento del deber de otorgar la seguridad necesaria a los datos personales de carácter financiero, a fin de evitar el acceso no autorizado por parte de terceros.
Así las cosas, a juicio de esta Dirección no es suficiente que un establecimiento del tamaño empresarial como el que posee el Banco Davivienda, limite su responsabilidad frente al tratamiento de datos personales de sus más de 130.000 clientes5 a la expedición de documentos en donde se establezcan los compromisos que recaen sobre sus trabajadores.
Puesto que, dado el caudal y naturaleza de la información que administra en calidad de Responsable le es exigible un nivel de diligencia mayor que se traduzca en acciones eficaces, verbigracia, la implementación de controles de seguridad que limiten el acceso a la información financiera de un titular en tanto se verifique la concurrencia de los requisitos para que sea conocida solamente por él o por quienes este hubiere expresamente autorizado, de manera que no quede a merced del funcionario de turno la decisión de cumplir o no los lineamientos organizacionales y con ello Conforme a lo dispuesto por la Circular Básica Jurídica de la Superintendencia Financiera de Colombia, “la reserva bancaria es considerada como una de las garantías más valiosas que tienen los clientes o usuarios que transfieren a las entidades vigiladas, a título de secreto, parte o toda su información personal y su intimidad económica (…)” De acuerdo con el reporte último reporte efectuado en el Registro Nacional de Bases de Datos, administrado por esta Superintendencia sobre la base de datos “Soporte Documental Clientes” “Por la cual se impone una sanción y se imparten órdenes administrativas”. garantizar la estricta confidencialidad de los datos personales, tal como se sucedió en el caso sub examine, según lo manifestado el Banco Davivienda en sus descargos: “Infortunadamente, en este caso, a pesar de que el funcionario tuvo acceso a diferentes vías de sensibilización y que, contaba con una amplia experiencia como informador, decidió prescindir de los procedimientos y comportamientos esperables de su profesionalidad y optó por dar prevalencia a la relación personal con el señor xxxxxxxxxxx con el fin de dar trámite a una solicitud que bajo los procedimientos establecidos, no podía ser tramitada, esto, tal como se pasará a explicar en el siguiente punto”.
Sobre esto, expresó la Honorable Corte Constitucional al realizar el estudio del entonces proyecto de Ley 1581 de 2012, en relación con el principio de seguridad: “En estos términos, el Responsable o Encargado del Tratamiento debe tomar las medidas acordes con el sistema de información correspondiente (…) Existe entonces un deber tanto de los Responsables como los Encargados de establecer controles de seguridad, de acuerdo con el tipo de base de datos que se trate, que permita garantizar los estándares de protección consagrados en esta Ley Estatutaria”.
Vale la pena también traer a colación los lineamientos del texto normativo contenido en la Ley 1266 de 20086, en cuanto al deber otorgar seguridad a los registros por parte de los sujetos intervinientes en la administración de datos personales de carácter financiero. Al punto, estableció que “La información que conforma los registros individuales constitutivos de los Bancos de Datos a que se refiere la ley, así como la resultante de las consultas que de ella hagan sus usuarios, se deberá manejar con las medidas técnicas que sean necesarias para garantizar la seguridad de los registros evitando su adulteración, pérdida, consulta o uso no autorizado” (énfasis añadido) Al respecto, es importante tener en cuenta que aun cuando en los descargos la investigada hizo mención del procedimiento de consulta en el “Aplicativo 360”, la única referencia que se observa en las piezas probatorias remitidas fue la descripción escueta hecha por el señor xxxxxxxxxxxxxxxxxx en la diligencia, cuya acta fuera aportada como anexo al escrito de descargos por el Banco Davivienda, en los términos que se citan: “PREGUNTADO: ¿Describa el procedimiento que usted debe realizar al momento de consultar los productos de un cliente? CONTESTÓ: La validación de 360, que es hacer la biometría y escanear la cédula, pero cuando hay problemas con la cédula o la huella se valida por método alterno. PREGUNTADO: ¿Describa si para la consulta de transacciones o productos de un cliente, es necesaria su presencia? CONTESTÓ: Sé que es necesaria, pero se puede hacer la validación a través de un documento como poder o autorización para hacer la validación. PREGUNTADO: ¿Describa el proceso de autenticación que debe llevarse a cabo para realizar consultas de productos, transacciones y movimientos de un cliente? CONTESTÓ: Se debe recibir la cédula del cliente para hacer la validación si va el titular, pero si va un autorizado se debe revisar el documento que “por la cual se dictan las disposiciones generales del hábeas data y se regula el manejo de la información contenida en bases de datos personales, en especial la financiera, crediticia, comercial, de servicios y la proveniente de terceros países y se dictan otras disposiciones”.
“Por la cual se impone una sanción y se imparten órdenes administrativas”. le dan y se pide la cédula para validar que la persona que va si es quien va en la carta de autorización”. Finalmente, es claro para esta Dirección que los sistemas de información con los que cuenta el Banco Davivienda no le permiten identificar o percatarse a tiempo de las fallas relacionadas con el acceso a la información financiera efectuado por personas ajenas al respectivo titular del dato; esto se colige a partir de lo expuesto en los descargos cuando se informa al Despacho que fue con ocasión de la queja interpuesta por la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx ante la defensoría del consumidor financiero y el Banco que este último emprendió acciones7 tendientes a establecer las circunstancias en que se presentó el incidente.
NOVENO: CONCLUSIÓN Conforme a todo lo expuesto, para la Dirección de Investigaciones de Protección de Datos queda plenamente acreditado que el BANCO DAVIVIENDA S.A. en su calidad de Responsable del tratamiento de datos personales desconoció el deber que le asiste de conservar la información personal bajo medidas de seguridad técnicas, humanas y administrativas para evitar su consulta no autorizada por parte de terceros, razón por la cual se impondrá como sanción la multa de DOSCIENTOS (200) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023– equivalentes a VEINTITRÉS MIL DOSCIENTOS (23.200) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a DOSCIENTOS SESENTA Y OCHO MILLONES SEIS MIL CUATROCIENTOS PESOS M/CTE (268.006.400).8 DÉCIMO: ORDEN ADMINISTRATIVA En adición a lo anterior, en ejercicio de la facultad prevista por el literal e) del artículo 21 de la Ley 1581 de 2012, esta Dirección impartirá una orden administrativa a la sociedad BANCO DAVIVIENDA S.A. consistente en implementar medidas técnicas efectivas que le permitan ejercer un monitoreo y control permanentes para garantizar que la información financiera de sus clientes solo sea accedida por los terceros que se encuentren debidamente autorizados por su respectivo titular.
DÉCIMO PRIMERO: FRENTE A LA APLICACIÓN DEL PRINCIPIO DE RESPONSABILIDAD DEMOSTRADA De acuerdo la solicitud hecha por la sociedad investigada en el curso de la presente investigación administrativa de carácter sancionatorio, este Despacho encuentra pertinente hacer unas anotaciones relativas a la aplicación del principio de responsabilidad demostrada.
La Superintendencia de Industria y Comercio ha sido enfática en señalar que las disposiciones contenidas en los artículos 2.2.2.25.6.1 y siguientes del Decreto 1074 de 2015, en relación con la adopción de políticas y procedimientos para el adecuado cumplimiento de la Ley 1581 de 2012 implica que concurran una serie de presupuestos que permitan evidenciar que los procedimientos implementados, en la práctica son reales y efectivos.
Así, la regulación colombiana le impone al Responsable o al Encargado del tratamiento la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica ni formal, sino real y demostrable. Téngase presente que según nuestra jurisprudencia “existe un deber constitucional de administrar correctamente y de proteger los archivos y las bases de datos que contengan información personal o socialmente relevante”9.
Adicionalmente, los Responsables o Encargados del tratamiento no son dueños de los de los datos personales que reposan en sus bases de datos o archivos. En Numerales 1.5 y 1.6, escrito de descargos del Banco Davivienda. Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 Corte Constitucional, Sentencia T-227 de 2003 “Por la cual se impone una sanción y se imparten órdenes administrativas”. efecto, ellos son meros tenedores que están en el deber de administrar de manera correcta, apropiada y acertada la información de las personas porque su negligencia afecta los derechos humanos de los titulares de los datos.
En virtud de lo anterior, el capítulo III del Decreto 1377 del 27 de junio de 2013 -incorporado en el decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. El artículo 2610 -titulado DEMOSTRACIÓN- establece que “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.
Así, resulta imposible ignorar la forma en que el responsable o encargado del tratamiento debe probar que pone en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.
Con el propósito de dar orientaciones sobre la materia, esta Superintendencia expidió el 28 de mayo de 2015 la “Guía para la implementación del principio de responsabilidad demostrada (accountability)”11. El término “accountability”, a pesar de contar con diferentes acepciones, ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.
Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, consisten principalmente en diseñar y activar un Programa Integral de Gestión de Datos Personales (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente, requiere la implementación de controles de diversa naturaleza, desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP, y demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales.
El principio de responsabilidad demostrada -accountability- demanda implementar acciones de diversa naturaleza para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. El mismo, exige que los Responsables y Encargados del tratamiento implementen medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia.
Dichas medidas deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales. El principio de responsabilidad demostrada precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones por parte de las organizaciones para garantizar el debido tratamiento de los datos personales.
El texto completo del artículo 26 del decreto 1377 de 2013 ordena lo siguiente: Artículo 26. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1. La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta sí se trata de una micro pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2.
La naturaleza jurídica de los datos personales objeto del tratamiento. 3. El tipo de tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares. En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.
En respuesta a un requerimiento de la suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas”. El texto de la guía puede consultarse en https://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf “Por la cual se impone una sanción y se imparten órdenes administrativas”.
El éxito de la implementación de este principio dependerá del compromiso y demostración real por parte de todos los miembros de la organización, pero especialmente, de los directivos de las organizaciones, ya que, sin su dirección y apoyo, todo esfuerzo será insuficiente para diseñar, implementar, revisar, actualizar y evaluar los programas de gestión de datos personales.
El principio de responsabilidad demostrada se articula con el concepto de “compliance” en la medida que este hace referencia “al conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”12.
Así las cosas, la identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del “compliance” y de la efectiva aplicación del principio de responsabilidad demostrada (accountability). De ahí que, se considere fundamental que las organizaciones desarrollen y pongan en marcha, entre otros, un sistema de administración de riesgos asociados al tratamiento de datos personales, que les permita identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales.
Además de lo anterior, el cumplimiento de este principio busca que el Responsable del Tratamiento, demuestre que dentro de su organización se cuenta con: (i) Una estructura de gobierno corporativo en el sentido de que la formulación de políticas y procedimientos para el tratamiento reflejen una cultura de respeto a la protección de los datos personales;
(ii) Un programa corporativo que tenga controles efectivos, que responda al tamaño y estructura de la organización, destinado al cumplimiento, implementación y consolidación del régimen de protección de datos; y (iii) Una evaluación y revisión continúa de los controles que lo integran, con el fin de determinar la pertinencia y eficacia del plan de gestión para lo cual deberán desarrollarse auditorías internas para evaluar, en una fase preliminar, el grado de cumplimiento con la normatividad de protección de datos.
Así las cosas, este Despacho se permite reiterar que no basta con tener una cultura que propenda por el respeto en la teoría, sino que dicha cultura debe materializarse en la práctica a través del efectivo cumplimiento de la Ley 1581 de 2012, más allá de que esta autoridad requiera a la investigada sobre su cumplimiento, ya que es un deber de la organización dar pleno cumplimiento a tal normatividad y es un derecho constitucional del ciudadano que se le respeten sus datos personales.
DÉCIMO SEGUNDO: Imposición y graduación de la sanción 12.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 23. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado Cfr. World Compliance Association (WCA). compliance.php (última consulta 20 de abril de 2020) http://www.worldcomplianceassociation.com/que-es- “Por la cual se impone una sanción y se imparten órdenes administrativas”. de los artículos 213, 414 y 615 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo16.
La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.
(…)”17 (negrita añadida) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional18.
Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.
En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente: “ARTÍCULO 313. UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico -UVB- se reajustará anualmente en la variación del Índice de Precios al Consumidor-IPC- sin Artículo 2.
(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) Artículo 4. La Constitución es norma de normas. (…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades.
(negrita añadida) Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones. (negrita añadida) Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000);
Corte Constitucional, Sala Octava de Revisión, T010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000).
Considerando 5.5.2. Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción y se imparten órdenes administrativas”. alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.
El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico UVB aplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- del año 2023, conforme lo dispuesto en este artículo.
PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB-, se deberá aproximar a la cifra con tres (3) decimales más cercana.
PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.
PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.
PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social.” De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor Básico UVB.
“Por la cual se impone una sanción y se imparten órdenes administrativas”. De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 23 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional19 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.
Esos criterios, según la sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”20 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.
Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 18 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.
Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros21. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución Política de 1991.
Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. “Por la cual se impone una sanción y se imparten órdenes administrativas”. Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad.
Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta. La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”22.
Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia23. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 2324 de la misma.
Asimismo, el artículo 19 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO 24. Criterios para graduar las sanciones. Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar”.
De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 24 de la Ley 1581 de 2012, que a su tenor literal expresa: “Artículo 24. Criterios para graduar las sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: Organización de las Naciones Unidas (1948).
Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Ley 1581 de 2012, artículo 23: Sanciones. La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” “Por la cual se impone una sanción y se imparten órdenes administrativas”. a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley;
(…)” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 12.1.1 Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por el investigado haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.
De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.
También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub examine, quedó plenamente acreditado que el BANCO DAVIVIENDA S.A. en su calidad de Responsable del tratamiento de datos personales desconoció el deber que le asiste de conservar la información personal bajo medidas de seguridad técnicas, humanas y administrativas para evitar su consulta no autorizada por parte de terceros, razón por la cual se impondrá como sanción la multa de DOSCIENTOS (200) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023– equivalentes a VEINTITRÉS MIL DOSCIENTOS (23.200) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a DOSCIENTOS SESENTA Y OCHO MILLONES SEIS MIL CUATROCIENTOS PESOS M/CTE (268.006.400).25 Se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.
Tampoco se tendrá en cuenta el criterio de atenuación contemplado en el literal f), por cuanto la investigada no aceptó la comisión de la infracción.
DÉCIMO TERCERO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad BANCO DAVIVIENDA S.A. identificada con Nit. 860.034.313-7, con el correo electrónico de notificación judicial notificacionesjudiciales@davivienda.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.
Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción y se imparten órdenes administrativas”. Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 22-482908.
La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello. Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o se requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible.
En mérito de lo expuesto,
RESUELVE
ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad BANCO DAVIVIENDA S.A. identificada con Nit 860.034.313-7 de DOSCIENTOS (200) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023– equivalentes a VEINTITRÉS MIL DOSCIENTOS (23.200) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a DOSCIENTOS SESENTA Y OCHO MILLONES SEIS MIL CUATROCIENTOS PESOS M/CTE (268.006.400).26, por la vulneración de lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con los señalado en el literal g) del artículo 4 ibidem y el artículo 2.2.2.25.6.1 del Decreto Único reglamentario 1074 de 2015.
Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.
Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.
ARTÍCULO 2: ORDENAR a la sociedad BANCO DAVIVIENDA S.A. identificada con Nit 860.034.313-7 implementar medidas técnicas efectivas que le permitan ejercer un monitoreo y control permanentes para garantizar que la información financiera de sus clientes solo sea accedida por los terceros que se encuentren debidamente autorizados por su respectivo titular.
La presente orden deberá ser cumplida por la sociedad BANCO DAVIVIENDA S.A., dentro del término de sesenta (60) días hábiles, siguientes a la ejecutoria de la presente decisión. Parágrafo: La sociedad BANCO DAVIVIENDA S.A. identificada con el Nit. 860.034.313-7 deberá acreditar el cumplimiento de lo ordenado ante esta Superintendencia, dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento.
ARTÍCULO 3: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad BANCO DAVIVIENDA S.A. identificada con Nit 860.034.313-7 a través de su representante legal y/o su apoderado, en calidad de investigada, entregándole copia de esta e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción y se imparten órdenes administrativas”. de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.
ARTÍCULO 4: COMUNICAR el contenido de la presente resolución a la señora xxxxxxxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxxx, en calidad de denunciante.
ARTÍCULO 5: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo de la Superintendencia Comercio: contactenos@sic.gov.co. de Industria y - Sede principal: Carrera 13 # 27-00 piso 3, edificio Bochica en la ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 18 de julio de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CAROLINA CAROLINA GARCIA MOLINA 2025.07.18 14:23:13 GARCIA MOLINA Fecha: -05'00' CAROLINA GARCÍA MOLINA Elaboró: LR Revisó: CG Aprobó: CG