Decisión 37431 de 2022 — SIC

(15 JUNIO 2022) “Por la cual se impone una sanción y se imparten órdenes” Radicación 20-178445 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los literales a) y b) del artículo 21 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, mediante escrito radicado el 16 de junio de 2020 con número 20-178445, el reclamante XXXXx XXXXX XXXXXXXx, identificado con C.C. XX.XXXXX presentó denuncia contra la sociedad COLOMBIA MOVIL S.A. E.S.P, identificada con NIT 830.114.921-1, con base en lo siguiente: 1.1 El señor XXXXx XXXXX XXXXXXX manifestó que durante un mes ha solicitado a la sociedad COLOMBIA MOVIL S.A. E.S.P que suprima los datos de su tarjeta de crédito sin que se haya dado una respuesta de fondo a su petición. 1.2 Al respecto en el escrito de denuncia indicó lo siguiente:“(…)ya cumplo un mes de pedirles que borren mis datos de tarjeta de crédito para una línea prepago.

Sus respuestas son que "sus servidores son seguros". 1.3 Igualmente, solicitó que se ordene a la sociedad COLOMBIA MOVIL S.A. E.S.P (i) eliminar los datos de su tarjeta de crédito, la cual está asociada a su correo electrónico; y (ii) que facilite de manera mucho más expedita la eliminación de información de datos de tarjeta de crédito de cualquier usuario, entre otras.

SEGUNDO: Que, con el propósito de precisar las circunstancias de tiempo, modo y lugar que dieron origen a los hechos narrados en la denuncia, la(s) persona(s) jurídica(s) involucrada(s), las normas presuntamente trasgredidas y las medidas o sanciones que serían procedentes, esta Dirección a través del Grupo de Trabajo Investigaciones Administrativas, adelantó las siguientes averiguaciones preliminares: 2.1 Requerimiento de información a la sociedad COLOMBIA MOVIL S.A. E.S.P de fecha 30 de septiembre de 2020 con número de radicado 20-178445- 4. 2.2.

Solicitud de prórroga por diez (10) días hábiles presentada el 16 de octubre de 2020 por la sociedad COLOMBIA MÓVIL S.A. E.S.P por medio del radicado 20-178445- 5. 2.3 Respuesta suministrada por la sociedad COLOMBIA MOVIL S.A. E.S.P al requerimiento de información, de fecha 29 de octubre de 2020 con radicados 20-178445- 6 y 20178445- 7. 2.4 Requerimiento de información al denunciante XXXXx XXXXX XXXXXXX de fecha 22 de febrero de 2021 con número de radicado 20-178445- 9. 2.5 Requerimiento de información a la sociedad COLOMBIA MOVIL S.A. E.S.P de fecha 25 de agosto de 2021 con número de radicado 20-178445- 11. 2.6 Respuesta suministrada por la sociedad COLOMBIA MOVIL S.A. E.S.P al requerimiento de información, de fecha 8 de septiembre de 2021 con radicado 20-178445- 12.

TERCERO: Que, con base en los hechos anotados y de acuerdo con las pruebas recolectadas en la etapa preliminar de esta investigación a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales, el día 12 de noviembre 2021 se inició la presente investigación administrativa mediante la expedición de la Resolución No. 73223, por medio de la cual se formuló cargo único a la sociedad COLOMBIA MOVIL S.A. E.S.P por el presunto HOJA N, “Por la cual se impone una sanción y se imparten órdenes” incumplimiento del literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 4 de la norma en mención, así como del artículo 2.2.2.25.4.3. del Decreto Único Reglamentario 1074 de 2015.

CUARTO: Que, la Resolución No. 73223 de 12 de noviembre de 2021 le fue notificada mediante Aviso N°. 29044 a la sociedad COLOMBIA MOVIL S.A. E.S.P., el 25 de noviembre de 2021 según consta en la certificación expedida por la Secretaria General de esta Superintendencia, radicada bajo el número 20-178445- 20 de 30 de noviembre de 2021.

QUINTO: Que, encontrándose dentro del término establecido para el efecto, la sociedad investigada, a través de apoderada especial, presentó descargos bajo número de radicación 20178445- 21 el día 16 de diciembre del 2021, en el cual argumenta, entre otras cosas, lo siguiente: “(…) Sobre la solicitud del señor XXXXx XXXXX XXXXXXX del día 13 de mayo de 2020 para eliminar los datos de su tarjeta de crédito de las bases de datos de COLOMBIA MOVIL S.A. E.S.P, es importante aclarar que el proceso de domiciliación (sic) es un proceso que realiza el titular directamente a través de nuestros canales, este proceso se hace con los datos específicos (Correo electrónico, líneas o contrato y dispositivo), por lo anterior es el usuario el único que tiene la capacidad de realizar el ingreso de la información puntal.

Adicional a esto, Cuando (sic) una (sic) cliente habilita guardar los datos de su medio de pago quien almacena la información es la pasarela de pagos PayU en forma de Token, ya que son (sic) quienes tienen certificación PCI, que se encarga de la administración y seguridad de la información de datos bancarios de la tarjeta habiente. Cuando un cliente va a realizar el pago con su tarjeta tokenizada (sic), únicamente debe diligenciar el código de seguridad de la misma (sic) y Tigo llama el Token que tiene almacenado PayU y se ejecuta el cobró. Si el cliente desea eliminar su medio de pago debe loguearse (sic) en Mi Tigo con su usuario y password y realizar el cambio correspondiente.

Lo anterior no es una traba o límite para que el usuario ejerza sino una forma de generar seguridad a los datos de nuestros usuarios La gestión del medio de pago (eliminar o editar) se realiza únicamente desde Mi Tigo con el usuario y password del cliente, con el cual agrego este medio de pago: Lo anterior, se le informa dentro de los términos y condiciones de pago al usuario: HOJA N, “Por la cual se impone una sanción y se imparten órdenes” Igualmente, en los siguientes links se encuentra el detalle del proceso de suscripción y los pasos que debe realizar el usuario, adicionalmente se le notifica todo el proceso en caso de que quiera eliminar una tarjeta guardada. https://ayuda.tigo.com.co/hc/es/articles/360019581553--C%C3%B3mo-guardar-tu-tarjeta-decr%C3%A9dito-para-futuros-pagos-General https://ayuda.tigo.com.co/hc/es/articles/115015348127--C%C3%B3mo-activar-el-pago autom%C3%A1tico-de-mi-factura-Tigo-General No obstante lo anterior, como se puede evidenciar en los videos que el mismo usuario aporta, la eliminación se estaba intentando desde la pagina (sic) de Tigo, por lo tanto no realizó el procedimiento de acuerdo a (sic) la información disponible.

(…) Por último, es importante aclarar que este mismo caso fue de conocimiento de la Superintendencia mediante la solicitud de información 20-176765 la cual fue archivada bajo la Resolución 25094 del 29 de abril de 2021, dado el hecho superado. (…)”1 1 Consecutivo número 21, página 4, hojas 1 a 5. “Por la cual se impone una sanción y se imparten órdenes” HOJA N, SEXTO: Que, mediante Resolución 17355 de 31 de marzo de 2022 la Dirección de Investigación de Protección de Datos Personales incorporó las pruebas obrantes en el expediente, con el valor legal que les correspondiera y corrió traslado para que la investigada alegara de conclusión. Las pruebas incorporadas son las siguientes: 6.1 Pruebas recaudadas por esta Dirección: Los documentos recolectados en la etapa preliminar, así como los demás obrantes en el expediente 20- 178445 tramitado por la Dirección de investigación de Protección de Datos Personales, se tendrán como pruebas aquellos documentos que tengan vocación probatoria. 6.2.

Pruebas aportadas al interior del escrito de descargos: 6.2.1 Certificación de existencia y representación legal de la sociedad COLOMBIA MOVIL S.A. E.S.P, con fecha 31 de agosto de 2021. 6.2.2 Copia del documento denominado “Manual de gestión de las domiciliaciones” 6.2.3 Copia de la Resolución No. 25094 de 2021.

SÉPTIMO: Que la Resolución 17355 de 31 de marzo de 2022 le fue comunicada el 4 de abril de 2022, a la sociedad COLOMBIA MOVIL S.A. E.S.P, según consta en la certificación expedida por la Secretaría General de esta Superintendencia, radicada con número 20-178445- 25 del 22 de abril de 2022.

OCTAVO: Que la investigada no presentó alegatos de conclusión.

NOVENO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la ley.

DÉCIMO: Análisis del caso 10.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20112, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad e la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por el denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado en literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 4 de la norma en mención, así como del artículo 2.2.2.25.4.3. del Decreto Único Reglamentario 1074 de 2015. 2 Corte Constitucional, sentencia C-748/11, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

HOJA N, “Por la cual se impone una sanción y se imparten órdenes” En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberá tener en cuenta los hechos narrados por el denunciante, las razones de hecho y de derecho aducidas por la investigada tanto en su escrito de descargos y alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente. 10.2 Valoración probatoria y conclusiones 10.2.1 Respecto del deber de garantizar el ejercicio del derecho fundamental de hábeas data El literal a) del artículo 17 de la Ley 1581 de 2012, prevé un deber fundamental para los Responsables de la Información, el cual establece: “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data; (…)”. En concordancia con dicho deber, se encuentra el derecho de los Titulares de revocar y/o solicitar la supresión del dato, tal como lo dispone el literal e) del artículo 8 de la Ley 1581 de 2012, en los siguientes términos: “ARTÍCULO 8o.

DERECHOS DE LOS TITULARES. El Titular de los datos personales tendrá los siguientes derechos: (…) e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución;

(…)” La Corte Constitucional en la sentencia C-748 de 2011, mediante la cual realiza el análisis constitucional de la Ley estatutaria 1581 de 2012, manifestó: “De conformidad con la jurisprudencia de esta Corporación, dentro de las prerrogativas – contenidos mínimos- que se desprenden de este derecho encontramos por lo menos las siguientes: (i) el derecho de las personas a conocer –acceso- la información que sobre ellas están recogidas en bases de datos, lo que conlleva el acceso a las bases de datos donde se encuentra dicha información;

(ii) el derecho a incluir nuevos datos con el fin de se provea una imagen completa del titular; (iii) el derecho a actualizar la información, es decir, a poner al día el contenido de dichas bases de datos; (iv) el derecho a que la información contenida en bases de datos sea rectificada o corregida, de tal manera que concuerde con la realidad;

(v) el derecho a excluir información de una base de datos, bien porque se está haciendo un uso indebido de ella, o por simple voluntad del titular –salvo las excepciones previstas en la normativa3”.(Negrilla fuera de texto) Al respecto, debe precisar este Despacho, que tal como lo manifiesta la Corte Constitucional, el derecho de habeas data, otorga la facultad al Titular de los datos personales de exigir el acceso, corrección, adición, actualización y eliminación de su información, por lo que resulta apenas claro, que los Responsables del Tratamiento, deben proceder de conformidad, implementando las medidas y procedimientos claros, dirigidos a la protección de los datos personales y su adecuado 3 Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP.

Jorge Ignacio Pretelt Chaljub. Pág. 6. HOJA N, “Por la cual se impone una sanción y se imparten órdenes” tratamiento, garantizando al Titular de la información el libre acceso y el cumplimiento de las solicitudes que el mismo efectúe respecto de su información. En referencia al deber consagrado en el literal a) del artículo 17 de la Ley 1581 de 2012, la Corte Constitucional, en la misma providencia, señaló que: “(…) se debe entender que cuando los literales a) de los artículos 17 y 18 imponen como deberes tanto del responsable como del encargado del tratamiento, garantizar al titular en todo tiempo, el pleno y efectivo derecho de habeas data, ello incluye que se cumplan los principios para la administración de datos y los derechos de los titulares (…)4”.

(Subrayado fuera del texto original). Al respecto, es oportuno señalar que el citado artículo 8º establece que los Titulares pueden solicitar la supresión de su información personal cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La Corte Constitucional en sentencia que analizó la exequibilidad de la citada ley5, determinó que: “(…) el individuo también es libre de decidir cuales informaciones desea que continúen y cuáles deben ser excluidas de una fuente de información, siempre y cuando no exista un mandato legal que imponga tal deber, o cuando exista alguna obligación contractual entre la persona y el controlador de datos, que haga necesaria la permanencia del dato.

(…) En consecuencia, el literal e) debe ser entendido en el sentido que el Titular podrá revocar la autorización y solicitar la supresión del dato cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales. En este caso, y en aras de garantizar el debido proceso, siempre y cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias al ordenamiento y (ii) en virtud de la solicitud libre y voluntaria del Titular del dato, cuando no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la referida base de datos (…)” En concordancia de lo anterior, es preciso traer a colación lo dispuesto en el artículo 2.2.2.25.6.2 del Decreto Reglamentario 1074 de 2015, por cuanto prevé lo siguiente: “(…) Artículo 2.2.2.25.6.2 Revocatoria de la autorización y/o supresión del dato.

Los Titulares podrán en todo momento solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012. La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos.

El responsable y el encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada. (…)”. Respecto al caso que nos ocupa, mediante Resolución No. 73223 de 12 de noviembre de 2021, esta Dirección determinó preliminarmente lo siguiente: “En el presente caso, de conformidad con las pruebas allegadas al expediente se evidencia que la solicitud del señor XXXXx XXXXX XXXXXXX del día 13 de mayo de 2020 para eliminar los datos de su tarjeta de crédito de las bases de datos de COLOMBIA MOVIL S.A. E.S.P, no fue tramitada de inmediato, sino que la primera respuesta que el señor XXXXx XXXXX XXXXXXX recibió lo siguiente: “No obstante, nos permitimos comunicarle que usted como cliente podrá ingresar a través de micuenta.tigo.com.co o a través de Mi Tigo, en la sección Facturación, y allí seleccionar la opción Mis Tarjetas y luego pulsar el icono Eliminar. 4 Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP.

Jorge Ignacio Pretelt Chaljub. Pág. 257. 5 Ibidem HOJA N, “Por la cual se impone una sanción y se imparten órdenes” Así mismo, puede volver a la opción Mi Perfil y seleccionar la opción de Pagos Automáticos, después seleccionar la opción Desactivar, al final aparecerá un mensaje con la desactivación.” Pese a lo anterior el señor XXXXx XXXXX XXXXXXX puso de presente que el mecanismo referido no era efectivo para la eliminación de sus datos, haciendo evidente que existen trabas y límites para que los titulares de habeas datos puedan ejercer libremente sus derechos, entre los cuales se encuentra la posibilidad de eliminar sus datos personales.

Adicionalmente, de acuerdo a lo manifestado por la investigada y lo obrante en el expediente presuntamente la sociedad COLOMBIA MOVIL S.A. E.S.P. efectuó la supresión del dato solo hasta el 29 de octubre de 2020.” 6 Ahora bien, dentro de la oportunidad legal para rendir descargos, la sociedad investigada presentó el respectivo escrito radicado bajo número 20-178445- 21 el día 16 de diciembre de 2021, argumentando lo siguiente: “(…) Sobre la solicitud del señor XXXXx XXXXX XXXXXXX del día 13 de mayo de 2020 para eliminar los datos de su tarjeta de crédito de las bases de datos de COLOMBIA MOVIL S.A. E.S.P, es importante aclarar que el proceso de domiciliación (sic) es un proceso que realiza el titular directamente a través de nuestros canales, este proceso se hace con los datos específicos (Correo electrónico, líneas o contrato y dispositivo), por lo anterior es el usuario el único que tiene la capacidad de realizar el ingreso de la información puntal.

HOJA N, “Por la cual se impone una sanción y se imparten órdenes” Igualmente, en los siguientes links se encuentra el detalle del proceso de suscripción y los pasos que debe realizar el usuario, adicionalmente se le notifica todo el proceso en caso de que quiera eliminar una tarjeta guardada. https://ayuda.tigo.com.co/hc/es/articles/360019581553--C%C3%B3mo-guardar-tu-tarjeta-decr%C3%A9dito-para-futuros-pagos-General https://ayuda.tigo.com.co/hc/es/articles/115015348127--C%C3%B3mo-activar-el-pago autom%C3%A1tico-de-mi-factura-Tigo-General No obstante lo anterior, como se puede evidenciar en los videos que el mismo usuario aporta, la eliminación se estaba intentando desde la pagina (sic) de Tigo, por lo tanto no realizó el procedimiento de acuerdo a (sic) la información disponible.

Que en la queja presentada por el Titular, se adjuntó un enlace8 que dirige a un video en el cual este explica el funcionamiento de la plataforma de pagos de la sociedad investigada y la imposibilidad de solicitar la eliminación de los datos de su tarjeta de crédito desde la misma, ya que la plataforma no cuenta con esta opción. 2. Frente a esta circunstancia, este Despacho requirió a la sociedad investigada mediante oficio de radicado 20-178445- 4 de fecha 30 de septiembre de 2020 con el propósito de que la sociedad diera respuesta a los siguientes interrogantes: “ (…) 2.

Sírvase manifestar que datos personales del señor XXXXx XXXXX XXXXXXX fueron recolectados por la sociedad. 3. Sírvase manifestar si el señor XXXXx XXXXX XXXXXXX ha radicado ante la sociedad peticiones y/o reclamos para la supresión de sus datos personales; en caso de ser afirmativo, allegue copia de la(s) petición(es) junto con su(s) respectiva(s) respuesta(s). 4.

Manifieste la razón por la cual, a pesar de las solicitudes realizadas, no ha suprimido los datos personales del señor XXXXx XXXXX XXXXXXX, específicamente lo relacionado con los datos de su tarjeta de crédito. (…)”9 3. Al respecto la sociedad investigada mediante radicados 20-178445- 6 y 20- 178445- 7 de fecha 29 de octubre de 2020 suministró las siguientes respuestas a los interrogantes realizados por esta Dirección: “2.

(…) la información recolectada fue: Número de la tarjeta, fecha de vencimiento, CVV/CVC, nombre del titular, cuotas, dirección, tipo de documento y número y correo electrónico. 3. (…) Se anexa a la presente, las peticiones, quejas y recursos radicados por el usuario ante la compañía frente a los hechos de la denuncia, junto con su respuestas y guías de entrega. 4.

(…) El retiro de los datos personales respecto a las tarjetas de crédito lo debe realizar cada usuario, puesto que se necesita la información que se radicó al momento de inscribir la tarjeta, nos permitimos informar el paso a paso para la eliminación de la información de la tarjeta de crédito: Enlace: https://investigacionyprogramacion.com//audiovisual/Youtube_mensajes_no_publicos__2020-0612_173409__Solicitud_SANCION_a_Tigo_.php 9 Consecutivo número 4, página 2, hoja 1.

“Por la cual se impone una sanción y se imparten órdenes” HOJA N 10, “Por la cual se impone una sanción y se imparten órdenes” HOJA N 11, No obstante, nos permitimos recordar que a la fecha el usuario no registra con información relacionada con tarjetas de crédito: ”10 4. Aunado a ello, dentro de la documentación aportada11 por la sociedad investigada se evidencia que esa aporta lo siguiente:  Copia de la queja presentada por el titular el 13 de mayo de 2020 bajo número de ticket XXXXXXX, en donde se establece: 10 Consecutivo número 6, página 5. 11 Ibidem.

“Por la cual se impone una sanción y se imparten órdenes” HOJA N 12, “Requerimiento: Se comunica con nosotros el señor XXXXx XXx que en el aplicativo de micuenta.tigo.com.co se facilite para el publico general dentro de la respectiva cuenta con usuario y contraseña un mecanismo claro y sencillo para que todas las personas puedan eliminar con facilidad si lo desean la informacion de sus tarjetas de credito y sus preferencias de debitos automaticos.

Ya que actualmente la usencia (sic) de esta posibilidad sencilla es un abuso para con los consumidores.”  Copia de la respuesta dada por la sociedad COLOMBIA MOVIL S.A. E.S.P al Titular el 17 de mayo de 2020, en donde, en respuesta a la queja de este, se le indica: “(…) No obstante, nos permitimos comunicarle que usted como cliente podrá ingresar a través de micuenta.tigo.com.co o a traves de Mi Tigo, en la sección Facturación, y allí seleccionar la opción Mis Tarjetas y luego pulsar el icono Eliminar.

Así mismo, puede volver a la opción Mi Perfil y seleccionar la opción de Pagos Automáticos, después seleccionar la opción Desactivar, al final aparecerá un mensaje con la desactivación.”  Copia del recurso de reposición y en subsidio apelación interpuesto por el Titular el 23 de mayo de 2020 a la respuesta suministrada por la sociedad investigada el 17 de mayo de 2020, en donde se menciona: “Es equivocada la respuesta de parte de tigo el derecho de petición enviada 1-con base a la ley habeas data exijo que se borre la tarjeta de crédito que esta asociada a mi cuenta 2- ustedes no han revisado cuidadosa mete (sic) los aplicativo y no permite eliminar la tarjeta de crédito de mi cuenta se han llamado a los funcionario y se ha logrado asistencia de call center y la conclusión es que su diferente sistema no admite que se elimine para mi cuenta ni la aplicación móvil en la sección de factura ni en la aplicación web”  Copia de la respuesta dada por la sociedad COLOMBIA MOVIL S.A. E.S.P el 16 de junio de 2020 al recurso de reposición interpuesto por el Titular, en donde se establece que: “Teniendo en cuenta su solicitud se realización (sic) un reporte de la eventualidad presentada por usted para dar solución a la misma, por una parametrización en nuestra página web www.tigo.com.co el proceso será realizado en el transcurso de 5 días hábiles, luego del periodo en mención se realizará la des asociación (sic) de la información de su tarjeta de crédito en la cuenta Tigo.” 5.

Por otro lado, el Despacho requirió a la sociedad investigada mediante oficio de radicado 20178445- 11 de fecha 25 de agosto de 2021 con el propósito de que la sociedad acreditara técnicamente ante el Despacho la supresión de los datos personales del Titular XXXXx XXXX XXXXXX, en concreto, los datos de su tarjeta de crédito. 6. Frente a ello, la sociedad mediante radicado número 20-178445- 12 de fecha 8 de septiembre de 2021 dio respuesta a lo solicitado acreditando la supresión de los datos personales del Titular a través de imágenes del sistema interno, como la que se evidencia a continuación: “Por la cual se impone una sanción y se imparten órdenes” HOJA N 13, Igualmente, informó que: “Se realiza la validación y evidenciamos que la orden administrativa bajo el radicado No. 20178445, fue notificada el día 30 de septiembre de 2020, ante Colombia Móvil Tigo, y a la misma, se dio gestión el día 29 de octubre de 2020.

Así mismo, nos permitimos indicar que se procedió de acuerdo a lo solicitado, por ende, se generó la supresión de los registros de la tarjeta de crédito de las bases de datos de Colombia Móvil Tigo, del Señor XXXXx XXXXX XXXXXX, identificado con C.C. XX.XXXXX”12 7. Posteriormente, mediante escrito de descargos, la investigada argumentó lo siguiente: “Sobre la solicitud del señor XXXXx XXXXX XXXXXX del día 13 de mayo de 2020 para eliminar los datos de su tarjeta de crédito de las bases de datos de COLOMBIA MOVIL S.A. E.S.P, es importante aclarar que el proceso de domiciliación (sic) es un proceso que realiza el titular directamente a través de nuestros canales, este proceso se hace con los datos específicos (Correo electrónico, líneas o contrato y dispositivo), por lo anterior es el usuario el único que tiene la capacidad de realizar el ingreso de la información puntal.

(…) Por último, es importante aclarar que este mismo caso fue de conocimiento de la Superintendencia mediante la solicitud de información 20-176765 la cual fue archivada bajo la Resolución 25094 del 29 de abril de 2021, dado el hecho superado.”13 De acuerdo con lo hasta aquí analizado, este Despacho encuentra probado lo siguiente: (i) Que el Titular presentó una solicitud de eliminación de datos ante la sociedad investigada el 13 de mayo de 2020.

(ii) Que en la contestación dada por la sociedad investigada el 17 de mayo de 2020 a la solicitud del Titular, esta se limitó a indicar cuál era el proceso que podía seguir en la aplicación “Mi Tigo” para proceder con la eliminación. (iii) Que en la réplica dada por la sociedad investigada el 16 de junio de 2020 al recurso de reposición interpuesto por el Titular, la sociedad le informó que después de un periodo de 5 días hábiles se iba a proceder con “la des asociación (sic) de la información de su tarjeta de crédito en la cuenta Tigo”.

(iv) Que de acuerdo con la respuesta allegada ante este Despacho el 8 de septiembre de 2021 por la sociedad investigada, los datos de la Tarjeta de crédito del Titular fueron eliminados del sistema el día 29 de octubre de 2020. Con base en lo anterior, se evidencia que el Titular presentó una solicitud de eliminación de los datos de su tarjeta de crédito el 13 de mayo de 2020 y la sociedad: 12 Consecutivo número 12, página 3, hoja 1. 13 Consecutivo número 21, página 4, hojas 1 a 5.

“Por la cual se impone una sanción y se imparten órdenes” (i) (ii) (iii) HOJA N 14, en principio no le dio trámite a la solicitud y se limitó a indicarle al Titular el trámite que debía hacer en la aplicación “Mi Tigo” para proceder con la eliminación; realizó la eliminación de los datos solicitados 5 meses después de la solicitud; y procedió a la eliminación de los datos solicitados con ocasión del inicio de la presente actuación administrativa de carácter sancionatorio.

Al respecto, es importante que se entienda que es imperativo -no facultativo- que los Responsables del tratamiento de datos personales garanticen oportuna y debidamente los derechos constitucionales y legales de los Titulares. En ese sentido, se espera que los Responsables del Tratamiento obren con la máxima diligencia y efectividad, y que, ante una solicitud de supresión de datos por parte de un Titular, se proceda a dar trámite a la misma dentro de los términos previstos en la Ley y sin imponer trabas o pasos innecesarios que deriven en que el Titular sea quien deba realizar dicha acción. Por lo anterior, frente al argumento dado por la investigada respecto de que la eliminación de los datos es un proceso en el cual es “el usuario el único que tiene la capacidad de realizar el ingreso de la información puntal” y realizar la eliminación desde allí, este Despacho considera pertinente aclarar que disponer de mecanismos digitales de autogestión para la eliminación de ciertos datos personales de un sitio web o plataforma tecnológica no releva a la sociedad de atender dentro de los términos previstos en la Ley 1581 de 2012 las solicitudes de supresión de información que presenten los titulares en ejercicio de su derecho de hábeas data.

De igual forma, es importante que la sociedad entienda que no se puede establecer como único canal para la eliminación de algunos datos personales el uso de una plataforma tecnológica, pues esto representaría una limitación puntual al ejercicio de habeas data y se estaría desconociendo el deber de la sociedad de poner a disposición del Titular todos los medios disponibles y de fácil acceso para que este pueda ejercer su derecho.

Además, este Despacho ha sido enfático en señalar que: “No puede convertirse en práctica empresarial que el titular del dato tenga que insistir varias veces para que se garantice el respecto de sus derechos. Con una sola solicitud es suficiente y le corresponde al Responsable hacer efectivo el derecho de las personas dentro de los plazos máximos legales establecidos en la ley.

Los derechos de los titulares son para respetarlos en el tratamiento de datos personales y no para dilatar su cumplimiento o negar su efectividad en la práctica”14. Así las cosas, se tiene que la sociedad COLOMBIA MOVIL S.A. E.S.P, no actuó de forma diligente, efectiva y oportuna ante la solicitud de eliminación presentada por el Titular XXXXx XXXXX XXXXXXXx.

Además, no es de recibo para este Despacho el argumento según el cual, este mismo caso fue archivado mediante Resolución N° 25094 del 29 de abril de 2021, por el fenómeno jurídico de hecho superado, toda vez que la Resolución citada corresponde a una Resolución de Grupo de Trabajo de Habeas Data de esta Dirección. Ahora bien, en cuanto al argumento de la investigada, es pertinente hacerle a la misma ciertas aclaraciones en torno a la conformación de esta Dirección, la cual estaba integrada por dos grupos de trabajo, a saber: (i) el Grupo de Trabajo de Habeas Data y (ii) el Grupo de Trabajo de Investigaciones Administrativas, cuyas funciones se señalan a continuación: Esta Superintendencia, mediante Resolución 54004 del 17 de septiembre de 2012, creó y organizó el Grupo de Trabajo de Habeas Data adscrito a la Dirección de Investigación de Protección de Datos Personales, asignándole, entre otras, las siguientes funciones: “(…) Elaborar los actos administrativos que sean necesarios para el cabal cumplimiento del trámite de las quejas o reclamos que se adelanten en procura del amparo del derecho fundamental de hábeas data, de conformidad con las normas y procedimientos establecidos. 14 Resolución 83882 del 15 de noviembre de 2018 de la Superintendencia de Industria y Comercio “Por la cual se impone una sanción y se imparten órdenes” HOJA N 15, (…).” El mismo 17 de septiembre de 2018, a través de la Resolución 54005, esta Superintendencia creó y organizó el Grupo de Trabajo de Investigaciones Administrativas y le asignó, entre otras, las siguientes funciones: “(…) 3.

Elaborar los actos administrativos que sean necesarios para tramitar y decidir las investigaciones que se adelanten de oficio o a petición de parte, por violación a las normas de Protección de Datos Personales. (…).” A su turno, el capítulo III de la Ley 1437 de 2011 Código de Procedimiento Administrativo y de lo Contencioso Administrativo contiene la regulación del procedimiento administrativo sancionatorio general.

De acuerdo con el artículo 47 de este cuerpo normativo, el procedimiento administrativo está precedido de una fase previa de averiguaciones preliminares “Cuando como resultado de averiguaciones preliminares, la autoridad establezca que existen méritos para adelantar un procedimiento sancionatorio, así lo comunicará al interesado. Concluidas las averiguaciones preliminares, si fuere el caso, formulará cargos mediante acto administrativo.” Con posterioridad a esta etapa (i) se profiere acto administrativo de formulación de cargos;

(ii) los investigados presentan sus descargos; (iii) se adelanta el periodo probatorio; y (iv) se profiere la decisión administrativa que corresponda en derecho. Estas etapas se encuentran reguladas en los artículos 48 al 52 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo. Al respecto, es importante tener en cuenta que, conforme a la sentencia T-412 de 2017 de la Corte Constitucional, la formulación de cargos es un acto administrativo de trámite que no crea, modifica o extingue una situación jurídica, ni expresa la voluntad de la administración, pues no se ha proferido una decisión de fondo sobre el caso en concreto.

Además, con base en la jurisprudencia del Consejo de Estado, se ha entendido que los actos definitivos son aquellos “que concluyen la actuación administrativa, en tanto que deciden directa o indirectamente el fondo del asunto y producen efectos jurídicos definitivos”15, mientras que los actos de trámite “contienen decisiones administrativas necesarias para la formación del acto definitivo, pero por sí mismos no concluyen la actuación administrativa (…)”16.

Teniendo en cuenta este criterio, es relevante que la sociedad investigada entienda que, la Resolución No. 73223 de 12 de noviembre de 2021, siendo el acto por el cual se formuló cargo único a la sociedad, se encuentra diseñado para que la investigada ejerza su derecho a la defensa y desvirtúe la presunción de incumplimiento de los deberes que le atañen, aportando las pruebas que considera pertinentes.

Por su parte, la sanción, si hay lugar a ella, se impone luego del ejercicio de valoración probatoria; de modo que únicamente, es en dicho acto administrativo que concluye la actuación administrativa pues se decide sobre el fondo del asunto y se generan efectos jurídicos definitivos para la investigada. Así, las disposiciones sobre el proceso administrativo sancionatorio contenidas en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo constituyen el marco general de actuación para las entidades.

Sin embargo, es posible que, por vía reglamentaria, las autoridades administrativas establezcan protocolos internos para adelantar cada una de las fases. En este sentido, el procedimiento aplicable para adelantar los trámites administrativos de esta Superintendencia se encuentra consignado en el “Procedimiento de Investigaciones sobre posibles violaciones a las normas sobre protección de datos personales.” De acuerdo con este protocolo contenido en la Resolución 54004 del 17 de septiembre de 2012, el Grupo de Trabajo de Investigaciones Administrativas y el Grupo de Trabajo de Hábeas Data desempeñan funciones distintas, las cuales son ejercidas de conformidad con las funciones 15 Cfr. Sentencia 11001-03-28-000-2008-00026-00.

Consejo de Estado. C.P.: Filemón Jiménez Ochoa 16 Ibídem. “Por la cual se impone una sanción y se imparten órdenes” HOJA N 16, atribuidas al Director de Investigación de Protección de Datos Personales. Así, los trámites administrativos adelantados bajo cada grupo son diferentes, pues conllevan a la adopción de dos decisiones independientes por parte de esta Dirección. En la primera, el Grupo de Trabajo de Hábeas busca garantizar al ciudadano su derecho fundamental de habeas Data.

En la segunda, el Grupo de Trabajo de Investigaciones Administrativas debe analizar el cumplimiento del Régimen General de Protección de Datos Personales por parte de la sociedad investigada, y ante conductas presuntamente violatorias de la ley dar inicio formal a un proceso administrativo sancionatorio. En el caso en concreto, el Grupo de Habeas Data mediante Resolución N° 25094 del 29 de abril de 2021, archivó el caso toda vez que se había configurado un hecho superado, por cuanto la sociedad ya había eliminado la información de la Tarjeta de crédito del Titular.

Bajo este entendido el derecho de habeas data del Titular ya no estaba siendo vulnerado y no fue necesaria una orden desde el Grupo de Habeas Data para su protección. Por su parte, al Grupo de Trabajo de Investigaciones Administrativas le corresponde analizar y determinar si la sociedad infringió el Régimen General de Protección de Datos Personales.

En conclusión, de acuerdo al análisis realizado por este Despacho es posible concluir que la investigada NO logró demostrar que efectivamente adelantó las medidas correspondientes para atender en forma oportuna y eficiente la petición elevada por el Titular, y así se evidencia un actuar negligente por parte de esta en el cumplimiento del deber previsto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, por lo cual se procederá a imponer una sanción de carácter pecuniario.

UNDÉCIMO: Una vez analizadas las pruebas obrantes en el expediente y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, a esta Superintendencia “impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente ley”, esta instancia impartirá las siguientes órdenes (a) Suprimir de manera definitiva y oportuna los datos personales de los Titulares cuya información sea recolectada, usada o tratada por la sociedad COLOMBIA MOVIL S.A. E.S.P, una vez cualquier Titular del dato le solicite por cualquier medio la eliminación de sus datos.

(b) Poner a disposición del Titular mecanismos gratuitos, útiles, de fácil acceso y efectivos para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada, Dichos mecanismos deben implementarse a través de los mismos medios o canales mediante los cuales la sociedad COLOMBIA MOVIL S.A. E.S.P, se contacta o comunica con los Titulares de los datos.

Adicionalmente, la sociedad COLOMBIA MOVIL S.A. E.S.P, deberá implementar un mecanismo de monitoreo permanente respecto de la efectividad de las medidas adoptadas para dar cumplimiento a las anteriores órdenes. Para demostrar lo anterior, la sociedad COLOMBIA MOVIL S.A. E.S.P, deberá: Primero: Acreditar ante esta entidad y dentro del término de dos (2) meses contados a partir de la ejecutoria de la presente decisión una certificación de cumplimiento de las órdenes impartidas por esta entidad.

DÉCIMO SEGUNDO: Imposición y graduación de la sanción 12.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: La Corte Constitucional señaló sobre este asunto: "ARTÍCULO 23. SANCIONES.

La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: “Por la cual se impone una sanción y se imparten órdenes” HOJA N 17, a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;”.

Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” (Subrayado fuera de texto).

El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 17. Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad.

En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994. En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT.

A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT. En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente.

PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2022 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 17 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. HOJA N 18, “Por la cual se impone una sanción y se imparten órdenes” De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional18 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”19 Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad.

Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012. Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros20.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir 18 Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 19 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 20 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. “Por la cual se impone una sanción y se imparten órdenes” HOJA N 19, no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, son una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros21. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”22.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia23. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2324 de la misma ley.

Asimismo, el artículo 19 de la Ley 1266 de 2008 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la 21 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 22 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 24Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” HOJA N 20, “Por la cual se impone una sanción y se imparten órdenes” e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 12.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “(…) En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a la misma resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad. (…)”25 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub examine quedó demostrado que sociedad COLOMBIA MOVIL S.A. E.S.P actuó negligentemente al no atender en forma oportuna y eficiente la solicitud del Titular en el sentido eliminar de los datos de su tarjeta de crédito de su plataforma de pagos, incumpliendo de esta forma con el deber establecido en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.

Por tanto, se impondrá como sanción una multa de CIENTO SEIS MILLONES CUATROCIENTOS ONCE MIL DOSCIENTOS PESOS/MCTE ($ 106.411.200) equivalente a DOS MIL OCHOCIENTOS (2.800). Unidades De Valor Tributario - UVT26 vigentes por el incumplimiento del deber establecido en literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015. 12.1.2 Otros criterios de graduación Por último, se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio 25Corte Constitucional.

Sentencia C-125 de 2003. M.P: Marco Gerardo Monroy Cabra. FJ: 5. 26 Mediante la resolución 140 del 25 de noviembre de 2021, la Unidad Administrativa Especial Dirección de Impuestos y Aduanas Nacionales (DIAN), dio a conocer el valor de la UVT aplicable en 2022, la cual quedó en $38.004 “Por la cual se impone una sanción y se imparten órdenes” HOJA N 21, económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción (iii) no hubo desacato a cumplir las órdenes impartidas por la Superintendencia;

(iv) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia. Igualmente, tampoco se tendrá en cuenta el literal f) del artículo 24 en tanto no hubo un reconocimiento expreso de la infracción.

DÉCIMO TERCERO: CONCLUSIÓN Se encontró probado que la investigada no atendió en forma oportuna y diligente la solicitud realizada por el Titular en el sentido de eliminar los datos de su tarjeta de crédito de su plataforma de pagos, dentro del término establecido en la Ley.

DÉCIMO CUARTO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.

Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad COLOMBIA MOVIL S.A. E.S.P, con Número de Identificación Tributaria 830.114.921-1, esta Dirección ha concedido el acceso al presente Expediente digital a esta, por intermedio de su Representante Legal Principal vinculado al correo electrónico de notificación judicial de la sociedad notificacionesjudiciales@tigo.com.co, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

Finalmente, indicando que la totalidad del Expediente se encuentra digitalizado para su consulta por medios virtuales, si la sociedad COLOMBIA MOVIL S.A. E.S.P, considera estrictamente necesario el acceso del Expediente en físico, deberá enviar un correo electrónico a contactenos@sic.gov.co y habeasdata@sic.gov.co, solicitando la asignación de una cita para revisión física del Expediente en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá D.C., indicando el número de radicado.

Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad. Si tiene alguna duda o presenta algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible.

En mérito de lo expuesto este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad COLOMBIA MOVIL S.A. E.S.P, identificada con Nit. 830.114.921-1, de CIENTO SEIS MILLONES CUATROCIENTOS ONCE MIL DOSCIENTOS PESOS/MCTE ($ 106.411.200), equivalente a (2800 UVT) Unidad de Valor Tributario, por la violación a lo dispuesto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución “Por la cual se impone una sanción y se imparten órdenes” HOJA N 22, sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: ORDENAR a la sociedad COLOMBIA MOVIL S.A. E.S.P, identificada con el NIT 830.114.921-1, por conducto de su representante legal, señor XXXXXXX XXXXXXX. XXXXXX identificado con cédula de extranjería No. XX.XX, lo siguiente: (a) Suprimir de manera definitiva y oportuna los datos personales de los Titulares cuya Información sea recolectada, usada o tratada por la sociedad COLOMBIA MOVIL S.A. E.S.P, una vez cualquier Titular del dato le solicite por cualquier medio la eliminación de sus datos.

ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a sociedad COLOMBIA MOVIL S.A. E.S.P, identificada con Nit. 830.114.921-1, a través de su representante legal y apoderada, entregándole copia de esta e informándole que contra ella procede el recurso de reposición, ante el Director de Investigación de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO CUARTO: COMUNICAR el contenido de la presente decisión al señor XXXXx XXXXX XXXXXXXx, identificado con la C.C. XX.XXXXX ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co - Sede Alterna: Avenida Carrera 7 No. 31ª - 36 Piso 3 en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 15 JUNIO 2022 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS ENRIQUE Firmado CARLOS ENRIQUE SALAZAR SALAZAR MUNOZ MUNOZ Fecha: 2022.06.15 11:53:04 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: LCAF Revisó: SRB Aprobó: CESM NOTIFICACIÓN: Investigada: COLOMBIA MOVIL S.A. E.S.P Identificación: N.I.T. 830.114.921-1 Representante Legal: XXXXXXX XXXXXXX.

XXXXXX Identificación: X.X. Xx. XX.XX Dirección: Carrera 50 # 96 – 12 Correo electrónico: notificacionesjudiciales@tigo.com.co Ciudad: Bogotá D.C. “Por la cual se impone una sanción y se imparten órdenes” Apoderada: Identificación: Dirección: Correo electrónico: Ciudad: XXX.XX XXXXXX XXXXXX XXXXXX XX C.C. XX.XXX.XXX xxxxxxxxxxxxxxxxxx.xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx. xxxxxx XX COMUNICACIÓN: Señor: Identificación: Correo electrónico: XXXXx XXXXX XXXXXXXx C.C. XX.XXXXX XXXXXXX XXXXXXX.

XXXXXxxX HOJA N 23,

Resolución sancionatoria N° 37431 de 2022

CONSIDERANDO

RESUELVE