Resolución sancionatoria N° 78239 de 2020

(04 DICIEMBRE 2020) “Por la cual se impone una sanción administrativa” Radicación 19-172149 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que, esta Superintendencia, tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S. identificada con Nit. 900.069.458-1, en virtud de la denuncia presentada por el señor XXXXXX XXXXXX XXXXX XXXXXX, de la cual, se extrajeron los siguientes hechos: 1.1.

El denunciante manifiesta que, el 31 de julio de 2019 recibió un correo electrónico de “BANSERFIN FONDO FEG <feg@banserfin.com>”1, por medio del cual, la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S., le informaba las posibilidades para normalizar la obligación con la sociedad FONDO DE EMPLEADOS GRANFONDO – FEG; en dicho correo, eran visibles “265 correos electrónicos, permitiendo con ello que terceras personas no autorizadas tuviesen acceso a estos datos de naturaleza privada (…)”2 1.2.

Igualmente, indicó que el 31 de julio de 2019 realizó el reclamo3 ante la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S., quienes respondieron el 1 de agosto de 2019, así: “Por un error humano e involuntario de nuestra parte, el día ayer remitimos un correo a su E-mail personal, que tenía la intención de darle a conocer las posibilidades vigentes otorgadas por el Fondo de Empleados Granfondo FEG, para normalizar su obligación y éste fue copiado a otros usuarios de la entidad ya mencionada.”4.

SEGUNDO: Que a partir del análisis de las pruebas recolectadas por esta Dirección, este Despacho encontró que se habrían ejecutado conductas presuntamente violatorias de las normas sobre protección de datos personales, y en virtud de lo dispuesto en el artículo 19 y el literal b) del artículo 21 de la Ley 1581 de 2012, procedió con la apertura de la investigación administrativa y formulación de cargos a través de la Resolución 56820 del 24 de octubre de 20195 modificada por la Resolución 33121 del 30 de junio de 20206, en contra de las sociedades investigadas:

1.1. BANCA DE SERVICIOS FINANCIEROS S.A.S. identificada con Nit. 900.069.458-1 en calidad de Encargada por la presunta violación de las normas sobre protección de datos personales, consagradas en: i) El literal b) del artículo 18, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012.

1.2. FONDO DE EMPLEADOS GRANFONDO – FEG, identificado con Nit. 800.097.913-8, en calidad de Responsable por la presunta violación de las normas consagradas en: i) El literal i) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012 y, Aportado con la Denuncia radicada bajo el número 19-172149- -0 del 01 de agosto de 2019 página 2.

Denuncia radicada bajo el número 19-172149- -0 del 01 de agosto de 2019. Aportado con la Denuncia radicada bajo el número 19-172149- -0 del 01 de agosto de 2019 página 3. Aportado con la Denuncia radicada bajo el número 19-172149- -0 del 01 de agosto de 2019 página 4. Actuación radicada bajo el número 19-172149-4 del 28 de octubre de 2019.

Actuación radicada bajo el número 19-172149-13 del 08 de julio de 2020. “Por la cual se impone una sanción administrativa” ii) El literal n) del artículo 17, en concordancia con el artículo 25 de la Ley 1581 de 2012, y literal g) del capítulo segundo de la Circular Externa No. 02 del 3 de noviembre de 2015 que “Adiciona el Capítulo Segundo en el Título V de la Circular Única de esta Superintendencia, sobre el Registro Nacional de Bases de Datos –RNBD”.

En el mismo acto administrativo, se concedió el término de quince (15) días hábiles a las sociedades investigadas para que rindieran descargos y aportaran las pruebas que pretendiera hacer valer en la presente actuación.

TERCERO: Que, la Resolución 33121 del 30 de junio de 2020 le fue notificada mediante Aviso 14691 al señor JORGE HELI MORALES MARTÍNEZ, en representación de la sociedad FONDO DE EMPLEADOS GRANFONDO – FEG. y mediante Aviso 14692 al señor GERMÁN ADOLFO HUÉRFANO MÉNDEZ, en representación de la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S. el 17 de julio de 2020 según consta en la certificación expedida por la Secretaria General AdHoc de esta Superintendencia, radicada bajo el número 19-172149- -25 del 10 de agosto de 2020.

CUARTO: Que, dentro del término concedido para el efecto, mediante escrito radicado bajo el número 19-172149- -00024-0001 del 27 de julio de 2020, la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S. en calidad de Encargada a traves de su representante legal presentó descargos, a través de los cuales manifestó lo siguiente: 4.1. Como primera medida, la investigada hizo referencia a las razones que originaron el único cargo formulado por esta Dirección. 4.2.

En segundo lugar, expuso los argumentos de objeción, siendo el primero uno de ellos, que la Resolucion por la cual se formuló el único cargo, carece de fundamento fáctico y jurídico, en razón a que, según el objeto de la investigación no le es aplicable la Ley 1581 de 2012, lo cual argumentó así: A. INAPLICABILIDAD DE LA LEY 1581 DE 2012 RESPECTO A LA SITUACIÓN OBJETO DE LA PRESENTE INVESTIGACIÓN: Sin que implique reconocimiento de responsabilidad alguna sobre los cargos imputados, es menester resaltar que la información objeto de la presente queja es de carácter financiero, pues así se colige del escrito que aquí se responde, ya que se trata de la invitación general a determinadas personas para que se acerquen a nuestras oficinas a efectuar el pago de sus obligaciones.

Por consiguiente es una información que se escapa del ámbito de aplicación de la ley 1581 de 2012 y se subsume bajo las normas de la ley 1266 de 2008 ya que se trata de información referente al comportamiento de pago de las personas naturales y/o jurídicas, esto aunado al hecho que nuestra conducta de notificación de nuestros servicios y conminación a la revisión y pago de las obligaciones crediticias que los receptores del correo electrónico tienen con el fondo de empleados, se fundamenta en el contrato de prestación de servicios de cobranza que BANSERFIN suscribió con dicha entidad.

En ese orden de ideas, y a efectos de enrostrar lo aquí mencionado citamos el articulo 2 literal e) de la ley 1581 de 2012 que reza: Artículo 2°. Ámbito de aplicación. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada.

(…) El régimen de protección de datos personales que se establece en la presente ley no será de aplicación: e) A las bases de datos y archivos regulados por la Ley 1266 de 2008;” De lo aquí expuesto se puede concluir que por tratarse de un asunto relacionado con información referente al comportamiento de pago de personas naturales y/o jurídicas, es decir financiera (ley 1266 de 2008), está excluida de las disposiciones contenidas en la ley 1581 de 2012. 4.3.

Seguidamente, afirmó que no expuso información financiera ni datos personales en el correo electrónico enviado, lo cual expresó así: “Ahora bien, más allá del ámbito de aplicación legal descrito, lo cierto y evidente es que no hubo una revelación de dato personal o de identificación clara de los dueños de los correos electrónicos dentro de la única y marginal situación presentada en el mensaje remitido por nuestra funcionaria, que esta conducta no genero (sic) ningún tipo de perjuicio formal o material o un subsecuente “Por la cual se impone una sanción administrativa” beneficio para Banserfin S.A.S. o terceros, se aceptó y se subsano (sic) en debida forma, mucho menos existe ningún tipo de información financiera o personal que haya sido objeto de exposición en dicho correo electrónico.” 4.4.

La segunda razón por la cual afirmó que la Ley 1581 de 2012 no es aplicablé al objeto de la investigación administrativa, respecto del literal f) del artículo 4, es que contaban con la autorización de los titulares para el tratamiento de datos personales otorgada al Responsable FONDO DE EMPLEADOS GRANFONDO – FEG., manifestado así: i. El tratamiento de datos personales de información financiera se llevo (sic) a cabo con la debida autorización de tratamiento de datos impartida por los titulares al responsable de la información, que para el presente caso fue el Fondo de Empleados Granfondo, pues mi representada trata la información en calidad de encargado, en virtud del contrato de cobro de cartera suscrita entre BANCA DE SERVICIOS FINANCIEROS S.A.S. y el FONDO DE EMPLEADOS GRANFONDO, tal y como se acredita con las documentales adjuntas al presente escrito. ii.

Si bien es cierto que el correo objeto de esta investigación se remitió a un número plural de emails, la información enviada es autorizada por sus titulares, aunado a que no contiene información especifica de carácter misma obedece a información general y abstracta e invitando a las personas a estar al corriente de sus obligaciones. Así las cosas, deviene evidente que en el presente caso no hay transgresión a la norma referida en el presente numeral, en tanto que el tratamiento de la información se encuentra autorizada por los titulares de la información y porque el correo electrónico “masivo” no contiene información privada y/o semi – privada, pues como se puede advertir es un correo informativo que no contiene nombres, cédulas, números de obligaciones, ni mucho menos estados de cuenta. 4.5.

El tercer argumento lo basó respecto del literal g) numeral 4 de la Ley 1581 de 2012, indicando que la información enviada a los correos electrónicos usualmente no es generada de manera masiva, reiterando que lo ocurrido fue causado por un error involuntario del funcionario, expresado así: (…) disentimos respetuosamente de su imputación porque pese a que este tipo de gestión de envío de correos no se realiza de manera masiva y a que se trató de un caso excepcional y a un error operativo involuntario por parte de una funcionaria que fue inmediatamente cesada de sus funciones, ello no quiere decir que mi representada no cuente con las medidas de seguridad de la información, pues nótese que la información allí remitida no contiene información personal, nombres, números de identificación, direcciones, numero de obligaciones, saldos y/o estados de cuenta, etc.

Más allá de lo expuesto, con ocasión de la situación marginal acaecida, insistimos que la información remitida fue enviada a personas que previamente autorizaron el tratamiento de sus datos al responsable de la información, que la misma no contiene información que permita identificar a los receptores del correo, que hemos adoptado y desplegado antes durante y después de estos hechos todas las medidas tecnológicas, administrativas y humanas que fortalecen los procedimientos de seguridad y mitigación de revelación y accesos no autorizados de datos personales de terceros tales como: (…) 2) Reunión de sensibilización, capacitación y ratificación de compromisos, obligaciones y acuerdos de confidencialidad con toda la planta de personal de BANCA DE SERVICIOS FINANCIEROS S.A.S. en fecha cinco (05) de agosto del año 2019, en la que se les reiteró el contenido de los manuales y políticas de manejo de información de tratamiento de datos personales de la entidad en armonía con las capacitaciones, actas, convenio de confidencialidad y compromisos laborales expresos que forman parte integral de su relación laboral ordinaria con BANCA DE SERVICIOS FINANCIEROS S.A.S. 3) Se reforzaron las políticas de manejo, custodia y tratamiento de datos personales en calidad de encargado, documento cuya copia simple se anexa al presente instrumento. 4) Se ajustó el manual de tratamiento de datos personales derivados de las bases entregadas por nuestros clientes y debidamente autorizadas por las fuentes de información. 5) Se estableció un procedimiento adicional en el manual de seguridad de la información de cara al seguimiento y control tanto a la remisión de coreos electrónicos como a las llamadas telefónicas para contactar a los asociados clientes financieros de las empresas contratantes de nuestros servicios en el que se controla la seguridad de la información para evitar consultas o accesos no autorizados.

“Por la cual se impone una sanción administrativa” Es del caso señalar que todos y cada uno de los funcionarios de BANCA DE SERVICIOS FINANCIEROS S.A.S. que han sido capacitados y obligados en los procedimientos y políticas establecidos en los cuerpos normativos internos anteriormente citados, cuentan con una copia cada uno de estos documentos y en señal de conocimiento y asentimiento de sus disposiciones y efectos, suscribieron un acta que forma parte integral de su contrato individual de trabajo. 4.6.

Igualmente indicó que, la sociedad no tiene antecedentes de quejas relacionadas con protección de datos personales, porque en la relación contractual los clientes han autorizado el manejo de la información para gestiones de cobranzas tercerizadas, como se cita: BANSERFIN S.A.S. siempre ha sido una entidad que en materia de protección de datos personales y financieros ha tenido un comportamiento probo, libre de antecedentes relacionados con quejas, reclamos o acciones por usos indebidos, inseguros o ilegales ya que en todos sus actos relacionados con el manejo de la información suministrada por nuestros clientes y/o responsables del tratamiento de datos personales de terceros que han autorizado de forma expresa su uso y tratamiento o que simplemente por ministerio de la ley en virtud de la relación jurídico negocial propia de los vínculos de asociación y operaciones activas de crédito con el responsable lo autorizan para las respectivas gestiones de cobranza que son tercerizadas, hemos desplegado diligencia, cuidado y estricta sujeción a los parámetros legales vigentes en la materia.

No obstante la mencionada diligencia, atención, cuidado y corrección jurídica de nuestra entidad, es menester señalar que dentro del giro ordinario de comunicaciones y notificaciones de la información relacionada con nuestra empresa y sus actividades de cobranza prejurídica que son encomendadas por nuestros clientes, nuestros sistemas, operaciones y particularmente nuestro personal no son 100% infalibles de errores humanos involuntarios como el del caso que nos ocupa (envío de un correo masivo de información general de nuestra empresa a un grupo de receptores cuyas direcciones de correo nos fueron entregadas para dichos fines), en el que más allá de no haber expuesto ningún dato personal sensible, privado o de identificación concreta de un tercero como el quejoso y mucho menos su información financiera se terminó remitiendo una información de carácter general y abstracto (como claramente se colige de su tenor literal citado en el pliego de cargo) a unas direcciones de correo electrónico que si bien no permiten identificar de modo alguno a sus receptores si se constituye en un fallo excepcional y marginal dentro de nuestra organización el cual fue inmediatamente identificado y objeto de diversas medidas para proscribir la posibilidad que volviera a ocurrir dentro del ámbito del derecho.

De la misma manera procedimos a rectificar una conducta que, ratificamos, no causó daño o perjuicio material o jurídico y ni siquiera un riesgo tangible de identificación clara o revelación de información personal o financiera de alguno de los dueños de dichas direcciones de correo electrónico ni un subsecuente beneficio irregular a un tercero o un potencial fraude. 4.7.

Señaló que, aunque el correo electrónico puede clasificarse como dato personal, en el correo enviado los propietarios no puede ser identificados, además que, la información enviada es de carácter general y abstracta, manifestado así: Es menester recalcar que si bien es cierto que el correo electrónico puede catalogarse como un dato personal, en el caso particular no hay riesgo alguno de que los propietarios de dicha información puedan ser identificados, pues en la mayoría de los casos corresponden a correos que como usuarios no tienen siquiera el nombre del titular ni ningún dato o indicio que los pueda identificar, aunado a que la información remitida a los correos electrónicos no contiene información personal, sino que se trata de una información de carácter general y abstracta, pues nótese que no tiene nombre de destinatario, apellido, dirección física, cédula, numero de obligación u otra información que se pueda considerar personal.

(Negrita adicionada) En consecuencia, no puede indicarse que este hecho haya vulnerado de manera tan siquiera leve el derecho de habeas data del quejoso. Reiteramos que esta es una situación que no debió haber ocurrido dentro de nuestros estrictos estándares de manejo de datos, pero la autoridad administrativa tampoco puede dejar de evaluar el grado en el riesgo en esta situación concreta, la que definitivamente no es alto ni grave. 4.8.

En cuanto al literal b) del artículo 18 de la Ley 1581 de 2012, manifestó que con el correo enviado no hubo violación de código de seguridad o riesgo en la administración de la información, por cuanto, con la dirección del correo electrónico no puede ser identificado el titular, lo cual expresó así: “Por la cual se impone una sanción administrativa” PRESUNTA INFRACCIÓN ORDINAL B) DEL ARTICULO 18° DE LA LEY 1581 DE 2012: No obstante el tratamiento que es objeto de la presente investigación se rige por la ley 1266 de 2008, es claro que el caso que nos ocupa no se adecua a los preceptos normativos en cuanto a que no hubo violación de código de seguridad de ninguna naturaleza o riesgo en la administración de la información de los titulares, pues con una dirección de correo electrónico no hay posibilidad de identificación expresa de persona natural alguna como el quejoso ni mucho menos accesos a sus datos personales o financieros, sin embargo debemos recabar en que los argumentos que esgrimimos en el presente escrito solo pretenden enrostrar que el yerro operativo involuntario de origen humano de haber remitido un correo masivo sin copia oculta no se enmarca dentro de los preceptos legales que nos son oponibles o se constituyen en un daño tangible al derecho de habeas data del quejoso o terceros, pero reconocemos que este tipo de circunstancias marginales son contrarias a nuestras políticas de tratamiento de datos entregados por los responsables contratantes de nuestros servicios y por ende hemos adoptado eficaces y estrictas medidas para que no se vuelvan a presentar más allá de haber reconocido (atenuante) y subsanado la situación respecto de los directamente involucrados. 4.9.

Finalizó sus argumentos afirmando que la sociedad cuenta con medidas técnicas, humanas y administrativas para la seguridad de la información: (…) la información sujeta a tratamiento por parte de mi representada si cuenta con las medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a la información, de manera que no ha existido ni se ha comprobado adulteración, pérdida, consulta uso o acceso no autorizado o fraudulento, en consecuencia el envío de la información del modo en que se hizo no puede considerarse como una violación a la normatividad indicada, más allá que esta circunstancia excepcional nos ha conminado a reforzar nuestras políticas y acciones tendientes a mitigar este tipo de situaciones. 4.10.

Solicitó el archivo de la investigación administrativa por considerar que se trata de un asunto de comportamiento de pago de obligaciones aplicable a la Ley 1266 de 2008: (…) que archive la presente investigación por cuanto el tratamiento de datos personales que aquí se investiga tiene relación con asuntos de comportamiento de pago de obligaciones, y por ende se sujeta a las normas de la ley 1266 de 2008.

Adicionalmente, el tratamiento de la información objeto de la queja se hizo con la debida autorización por parte de sus titulares y finalmente no hubo perdida, adulteración, consulta uso o acceso no autorizado o fraudulento de la información, pues como se señalo a lo largo de la contestación, el mensaje enviado corresponde a información de carácter general que no compromete en modo alguno información de los titulares.

QUINTO: Que, dentro del término concedido para el efecto, mediante escrito radicado bajo el número 19-172149- -00026-0001 del 11 de agosto de 2020, la sociedad FONDO DE EMPLEADOS GRANFONDO – FEG. presentó sus descargos, a través de los cuales manifestó lo siguiente: 5.1. Respecto del primer cargo indicó que, cuenta con la autorización previa otorgada por los Titulares para el manejo de la información registrada en el “Formato de Asociación”7, el cual adjuntó y citó así: 7 Aportado con el escrito de descargos radicado con número 19-172149- -00026-0001 del 11 de agosto de 2020 página 6 en Sistema de Trámtes.

“Por la cual se impone una sanción administrativa” 5.2. Igualmente, señaló que cuenta con Manual de Políticas y Procedimientos de Tratamiento de Datos que se encuentra publicado en la página web, como expresó así: 5.3. Además, manifestó que para los proveedores maneja los formatos “ACUERDO DE CONFIDENCIALIDAD Y DEBER DE SECRETO” y “CONTRATO DE TRANSMISIÓN DE DATOS”, los cuales aportó. 5.4.

Afirmó que revisó el cumplimiento en normas de seguridad en tratamiento de datos cuando la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S. presentó sus servicios, y luego fue ratificado a través del documento “ORDEN DE VENTA DE SERVICIOS DE GESTIÓN DE COBRANZAS Y OTROS SERVICIOS PARA FONDO DE EMPLEADOS DE GRAFONDO”, del cual, destacó el siguiente texto: “10.

CONFIDENCIALIDAD Y PROPIEDAD DE LA INFORMACIÓN En caso de ser aceptada la presente oferta mercantil mediante la correspondiente orden de venta de servicios, la información que FONDO FEG haya proporcionado o proporcione a EL DESTINATARIO, antes y durante el desarrollo o con ocasión de la aceptación y ejecución de los servicios en virtud de la presente oferta mercantil, es de propiedad exclusiva de FONDO FEG y de carácter confidencial y como tal deberá será tratada, estando su uso estricta y directamente relacionado con la prestación de los servicios, todo de conformidad con las condiciones que se exponen a continuación: • En adelante se llamará Información Confidencial a toda la información recibida o que reciba EL DESTINATARIO de FONDO FEG, bien sea en forma oral o escrita. • El DESTINATARIO se obliga a no revelar a terceras personas la Información confidencial que reciba y en consecuencia, se obliga a mantenerla de manera confidencial y privada, y a protegerla para evitar su divulgación, ejerciendo el mismo grado de control que utilizaría para proteger la información confidencial de su propiedad, obligándose además a hacer extensiva esta obligación a sus accionistas, directivos, empleados y/o contratistas. • EL DESTINATARIO no utilizará la información confidencial para fines comerciales o para la prestación de servicios a terceros y sólo la utilizará para el cumplimiento del objeto y de las obligaciones que surjan a partir de la aceptación de la presente Oferta Mercantil.

La Información Confidencial sólo podrá reproducirse si ello resulta necesario para cumplir tal finalidad y sólo se dará a conocer a aquellos empleados, trabajadores, asesores que tengan necesidad de tal conocimiento. En este último evento deberá advertirse a dichos empleados, trabajadores, el carácter confidencial de la información, al tiempo que deberá advertírseles respecto de los términos de este acuerdo.

EL DESTINATARIO responderá por el cumplimiento de lo aquí dispuesto y, en todo caso, indemnizará a FONDO FEG por los perjuicios que la divulgación de la información confidencial le ocasione. • La obligación de no revelar la Información Confidencial y las restricciones para su utilización no existirá o cesará cuando: ▪ Se haya convertido en información de dominio público, sin haberse producido violación de las presentes obligaciones por parte de EL DESTINATARIO. ▪ Sea divulgada por EL DESTINATARIO para cumplir con un requerimiento legal de una autoridad competente en ejercicio de sus funciones, pero en tal caso deberá informar' de tal hecho a FONDO FEG, antes de su divulgación, de tal forma que ésta tenga la oportunidad de defenderla, limitarla o protegerla. ▪ EL DESTINATARIO y FONDO FEG convengan por escrito y previamente a su revelación, que la información queda libre de tales restricciones. • La Información Confidencial que conozca EL DESTINATARIO será de propiedad exclusiva de FONDO FEG. • La entrega de Información Confidencial no concede a EL DESTINATARIO autorización, permiso o derechos de autor o de cualquier otro derecho de propiedad industrial o intelectual.

“Por la cual se impone una sanción administrativa” • EL DESTINATARIO DE LA OFERTA se obliga a mantener la confidencialidad de la información por un período indefinido a partir del momento en que reciba la información.” OBLIGACIONES A CARGO DE EL DESTINATARIO • • • • Desarrollar de manera diligente, oportuna y a entera satisfacción de FONDO FEG el objeto de la presente Oferta Mercantil.

Dar tratamiento de confidencialidad a toda la información a la que tenga acceso con ocasión de los servicios prestados; no divulgar, emitir, publicar o comunicar directa o indirectamente a tercero; la información que con ocasión de la prestación de los servicios llegare a conocer. Garantizar la preparación, experiencia e idoneidad del personal que participa en la prestación del servicio; capacitando a su personal para asegurar un alto nivel de desempeño y efectividad.

Proveer un grupo de personal técnico de soporte y monitoreo para garantizar la correcta ejecución de los servicios que preste EL DESTINATARIO en virtud de la presente oferta mercantil, en los términos y condiciones definidos por FONDO FEG.” 5.5. En cuanto al segundo cargo, reconoció que se infringió este deber en la fecha de los hechos objeto de la presente investigación, lo cual expresó así: “(…) para este cargo se logró evidencia que existió una omisión frente al reporte de la falla frente al Registro Nacional de Bases de Datos RNBD, lo anterior se dio frente a una presunta inobservancia de la norma de los funcionarios responsables en el momento de ocurridos los hechos.”

SEXTO: Que mediante Resolución 56010 del 15 de septiembre de 20208 se ordenó incorporar y tener como pruebas, las obrantes a la fecha en el expediente, con el valor legal que les corresponda. En el mismo acto administrativo, se corrió traslado a la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S. y a la sociedad FONDO DE EMPLEADOS GRANFONDO – FEG. por el término de diez (10) días hábiles para que presentara sus alegatos de conclusión.

SÉPTIMO: Que la Resolución 56010 del 15 de septiembre de 2020 fue comunicada a la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S. y a la sociedad FONDO DE EMPLEADOS GRANFONDO – FEG. el 16 de septiembre de 2020, según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, radicada bajo el número 19-172149- -32 del 25 de septiembre de 2020.

OCTAVO: Que, vencido el término concedido de diez (10) días hábiles para rendir los alegatos de conclusión, las sociedades investigadas guardaron silencio.

NOVENO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO: Análisis del caso 10.1. Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20119, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: Resolución 56010 del 15 de septiembre de 2020, radicada bajo el número 19-172149-27 del 16 de septiembre de 2020 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). “Por la cual se impone una sanción administrativa” (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares.

El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas, específicamente, en el artículo 23 de la Ley 1581 de 2012. De conformidad con los hechos alegados por el denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por: La sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S. en calidad de Encargada se concreta en la posible vulneración en: i) El literal b) del artículo 18, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012.

La sociedad FONDO DE EMPLEADOS GRANFONDO – FEG, en calidad de Responsable se concreta en la posible vulneración en: i) El literal i) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012 y, ii) El literal n) del artículo 17, en concordancia con el artículo 25 de la Ley 1581 de 2012, y literal g) del capítulo segundo de la Circular Externa No. 02 del 3 de noviembre de 2015 que “Adiciona el Capítulo Segundo en el Título V de la Circular Única de esta Superintendencia, sobre el Registro Nacional de Bases de Datos –RNBD”.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por las investigadas dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, las razones de hecho y de derecho aducidas por las investigadas en su escrito de descargos, así como el conjunto de pruebas allegadas al expediente. 10.2.

Régimen Legal Aplicable De manera previa al análisis de los deberes vulnerados, es necesario hacer hincapié en el régimen jurídico aplicable a esta investigación, en la medida en que la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S. afirmó que en este caso la normativa aplicable es la contenida en la Ley 1266 de 2008. En tal sentido, este Despacho no comparte lo afirmado por la investigada respecto a que la norma aplicable sea la Ley 1266 de 2008, en la medida en que considera que la normativa aplicable es el Régimen de Protección de Datos Personales contenido en la Ley 1581 de 2012, toda vez que, la denuncia presentada por el Titular está dirigida a la protección de sus datos personales y los de terceros, que para el caso corresponden a las direcciones electrónica, las cuales fueron expuestos el 31 de julio de 2019 en el correo electrónico enviado por la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S. lo cual manifestó así: “(…) ese (sic) permitio (sic) el acceso no autorizado almacenada en la base de datos de BANSERFIN, toda vez que quedron (sic) al descubierto direcciones de 265 correos electrónicos (sic), permitiendo con ello que terceras personas no autorizadas tuviesen acceso a estos datos de naturaleza privada y que potencialmente hagan uso indebido de estos, permitiendo la circulacion (sic) indiscriminada de información personal (…)” Sobre este punto, resulta pertinente tomar en consideración lo señalado en la sentencia T 419/13 cuando esta señala que: “(…) Como consecuencia de la regulación estatutaria de índole sectorial, es posible identificar en el derecho constitucional colombiano dos expresiones del derecho fundamental al habeas data.

Una de carácter general, predicable de todas las modalidades de administración de datos personales y cuyas reglas particulares y concretas están contenidas en la Ley Estatutaria 1581 de 2012 “por lo cual se dictan disposiciones generales para la protección de datos personales” 10. Otra, de carácter sectorial 11 y Corte Constitucional, sentencia 748/11 Este naturaleza sectorial fue evidenciada por la Corte al señalar que “'la iniciativa es una regulación del derecho al hábeas data con un carácter sectorial, en la medida en que los mecanismos concretos para la protección del derecho contenidos en el Proyecto respondían exclusivamente a la recopilación de datos personales de contenido financiero, comercial y crediticio, destinados al cálculo del riesgo crediticio, sin que el legislador hubiera “Por la cual se impone una sanción administrativa” particularmente aplicada para el caso de la administración de datos personales dirigida al cálculo del riesgo crediticio, denominado por jurisprudencia como habeas data financiero y contenida en la Ley Estatutaria 1266 de 2008 "por la cual se dictan las disposiciones generales del hábeas data y se regula el manejo de la Información contenida en bases de datos personales, en especial la financiera, crediticia, comercial, de servicios y la proveniente de terceros países y se dictan otras disposiciones.”12 Sin embargo, esta división en modo alguno significa que se trate de ordenamientos normativos separados, pues es evidente que comparten contenidos comunes, particularmente en lo que respecta a los principios que fundamentan la eficacia del derecho al habeas data.

(…)” Nótese como el legislador consagró dos regímenes que desarrollan el derecho fundamental de habeas data; un régimen sectorial dirigido exclusivamente al tratamiento de datos de carácter financiero, comercial y crediticio destinados al cálculo del riesgo crediticio relacionado con el nacimiento, ejecución y extinción de obligaciones de carácter dinerario de conformidad con lo establecido en Ley 1266 de 2008, evento que en el caso concreto no se materializa, ya que la denuncia instaurada por el titular está dirigida a la protección de su dato personal, siendo este caso la dirección de correo electrónico, el cual, la investigada dejó al descubierto de personas no autorizadas.

De otra parte, el ámbito de aplicación de la segunda regulación, esto es, de la Ley 1581 de 2012 es aplicable a “(…) los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada (…)" tal como lo dispone el inciso segundo del articulo 2º de la norma precitada.

Así las cosas, considerando que la dirección de correo electrónico no es un dato personal que se refiera al nacimiento, ejecución o extinción de obligaciones de carácter dinerario, indistintamente de la información enviada a dicho correo, el posible uso no autorizado de este dato personal y la posible vulneración a las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, dará lugar a una investigación de carácter sancionatorio, en el marco del Régimen General de Protección de Datos Personales establecido en la Ley 1581 de 2012.

Establecido lo anterior procede esta Dirección a decidir el caso concreto dando aplicación a la normativa ya mencionada. 10.3. Valoración probatoria y conclusiones Antes de entrar a realizar la valoración probatoria para cada uno de los cargos formulados, es pertinente pronunciarse frente a lo manifestado por la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S. en los descargos, respecto a que en el correo enviado el 31 de julio de 2019, no expuso ningun dato personal de los Titulares destinatarios de los correos electrónicos, lo cual expuso así: “Ahora bien, más allá del ámbito de aplicación legal descrito, lo cierto y evidente es que no hubo una revelación de dato personal o de identificación clara de los dueños de los correos electrónicos dentro de la única y marginal situación presentada en el mensaje remitido por nuestra funcionaria, que esta conducta no genero (sic) ningún tipo de perjuicio formal o material o un subsecuente beneficio para Banserfin S.A.S. o terceros, se aceptó y se subsano (sic) en debida forma, mucho menos existe ningún tipo de información financiera o personal que haya sido objeto de exposición en dicho correo electrónico” La anterior afirmación no es aceptada por esta Direción, por la razón que exponemos a continuación: 10.3.1.

El correo electrónico es un dato personal. Es preciso definir el concepto de dato personal, a fin de establecer si, en el presente caso, el dato enviado (correos electrónicos) corresponden a personas naturales. En este sentido se hace necesario traer la definición del literal c) del artícuo 3 de la Ley 1581 de 2012, conforme con el cual, el dato personal es “cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables”. extendido las consecuencias jurídica de la regulación a otros escenarios de protección de datos personajes, y en relación con otros distintos escenarios, no existe una disposición respecto de la cual pueda predicarse la omisión legislativa, pues no concurre para el presente caso una regulación genérica del derecho fundamental al hábeas data, por lo que la Corte advierte que se está frente a una omisión legislativa de carácter absoluto, inasible por el control de constitucionalidad.” Cfr. Corte Constitucional, sentencia C-1011/08.

El control de constitucionalidad del proyecto de ley correspondiente fue adelantado por la Corte en la sentencia C-1011/08. “Por la cual se impone una sanción administrativa” Para la Corte Constitucional, el dato personal goza de las siguientes características en contraposición al dato impersonal: “i) estar referido a aspectos exclusivos y propios de una persona natural; ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilítica, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación” 13 Como se observa, el dato personal conlleva un componente (en mayor o menor medida) que contribuye a la identificación de una persona y está circunscrito a aspectos propios de su titular, lo cual, además, le brinda un grado tal de individualización que lo hace excluyente respecto de la información de otras personas.

En otras palabras, el dato personal determina o permite determinar al titular del mismo a partir de su individualización. Ahora, la dirección de correo puede componerse de signos, números o palabras elegidas por el dueño de la cuenta, la cual, en muchas ocasiones puede referirse al nombre o apellido del titular, por lo cual es claro que con la sola dirección electrónica puede identificarse a una persona natural.

Piénsese por ejemplo en una cuenta de correo que se denomine “pedroperez@gobierno.com.co”, es claro que, si se fracciona dicha dirección entre el dominio de primer nivel 14 y el de segundo 15 podría llegar a concluirse que el dueño de la cuenta responde al nombre de “Pedro Pérez”, y que trabaja en el gobierno colombiano. Bajo esta hipótesis es evidente que el correo electrónico debe considerarse un dato personal.

Tambien puede darse un supuesto en que el nombre de usuario sea creado de tal forma que resulte siendo una frase sin un significado fácilmente atribuible o que no identifique al titular de la cuenta. En todo caso, en esta hipótesis tambien estamos en presencia de un dato personal, pues la dirección de correo electrónico sí que debe aparecer asociada a un dominio específico, como por el ejemplo el caso de los correos institucionales como “@sic.gov.co”, evento en el cual, solamente se requerirá acceder al servicio que gestione dicho dominio (el de la Superintendencia de Industria y Comercio) para establecer la titularidad de la cuenta.

De igual manera, los correos electrónicos gestionadas por proveedores de servicios de correo electrónico, tales como “Gmail”, “Hotmail” o “Yahoo”, entre otros, se podría identificar al titular de la informacion a través de la dirección IP 16 Es pertinente indicar que, en el listado de destinatarios del correo electrónico enviado por la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S., el 31 de julio de 2019, las direcciones de correo electrónico en la mayoria se encuentran vinculadas a un nombre y apellido, lo que permite sin lugar a dudas, la identificación de forma directa de sus titulares.

Así las cosas, las direcciones de correo electrónico tratados por la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S. tienen la connotación de dato personal, por lo que su tratamiento es objeto de la competencia de este Despacho. Ahora bien, superada la anterior situación, se procede con la valoración probatoria y conclusión para cada uno de los cargos formulados, así: 10.3.2.

Del deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. El articulo 15 de la Constitución Política debe interpretarse de manera armónica con los principios de acceso y circulación restringida y de seguridad, de tal manera que se debe tener presente que los Encargados del Tratamiento deben garantizar, entre otras cosas, que la información personal no sea Corte Constitucional Sentencia T-414 de 1992, M.P. Ciro Angarita Barón. Dominio de primer nivel son las extensiones de ámbito genérico, diferenciadas por la finalidad del uso que se les dará. En estos también están incluidos los ccTLD, los respectivos a los países como es,.it o.fr para España, Italia y Francia respectivamente.

En el texto: internetlab.es. (2009). Clases de dominio: de primer, segundo y tercer nivel-internetlab.es. (online) Disponible en: http://www. internetlab.es./post/75/clases-de-dominios-de-primersegundo-y-tercer-nivel/ (Recuperado el 31 de marzo de 2016). Son los nombres de dominio, lo que cualquier persona puede registrar en cualquier moment o. En el texto: En el texto: internetlab.es.

(2009). Clases de dominio: de primer, segundo y tercer nivel-internetlab.es. (online) Disponible en: http://www. internetlab.es./post/75/clases-de-dominios-de-primersegundo-y-tercer-nivel/ (Recuperado el 31 de marzo de 2016). Cfr. Mediante Concepto No. 14-268971, la Superintendencia de Industria y Comercio indicó que la dirección “IP” es un dato personal, en la medida en que “cada vez que una persona natural accede a Internet puede ser identificado por la dirección “IP” atribuida por el proveddor de acceso a internet.

“Por la cual se impone una sanción administrativa” divulgada a través de correo electrónico a otros titulares. Ahora bien, aun existiendo el consentimiento de éste, la divulgación, circulación y acceso de los datos tiene que estar controlado y restringido frente a terceros no autorizados. Razón por la cual, la Ley 1581 de 2012 impuso a los Encargados del Tratamiento una serie de deberes encaminados a dicho fin, como lo es el de "conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración pérdida consulta, uso o acceso no autorizado o fraudulento”, establecido en el artículo 18 literal b), como se cita:

ARTÍCULO

18. DEBERES DE LOS ENCARGADOS DEL TRATAMIENTO. Los Encargados del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…). A su vez, la precitada Ley en el artículo 4 establece los principios para el Tratamiento de los datos personales, entre los cuales, se encuentra el principio de acceso y circulación restringida y el de seguridad que señalan lo siguiente: ARTÍCULO 4o. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los limites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratarmento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;

Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o tercetos autorizados conforme a la presente ley; g) Principio de seguridad: La Información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…). Respecto del principio de seguridad, la Corte Constitucional mediante la sentencia C-748 de 2011 manifestó que: “Al amparo de este principio, la información sujeta a tratamiento por el responsable o encargado, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

( ) Existe entonces un deber tanto de los Responsables como los Encargados de establecer controles de seguridad, de acuerdo con el tipo de base de datos que se trate, que permita garantizar los estándares de protección consagrados en esta Ley Estatutaria.” (Negrita adicionada) Como se advierte, tanto el principio de acceso y circulación restringida como el de seguridad deben ser cumplidos por los Responsables y Encargados de información para garantizar el derecho de Habeas Data de los titulares, pues de la adopción de medidas de conservación de la información y de los controles de seguridad implementados depende que se minimicen los riesgos de filtración de los datos personales.

“Por la cual se impone una sanción administrativa” En el caso específico, se encontró a través de la denuncia17, que la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S., el 31 de julio de 2019 realizó el envio masivo de un correo electrónico mediante la cuenta “feg@banserfin.com”, en el cual, divulgó información de contacto de 264 Titulares diferentes al denunciante, de los cuales, aproximadamente 128 corresponden a direcciones de correos electrónicos privadas, con el propósito de llegar a un acuerdo con los Titulares sobre las obligaciones financieras de estos.

Con ello, permitiendo así que terceros no autorizados accedieran a datos personales que se encontraban en custodia de la investigada, como se observa a continuación: Denuncia radicada bajo el número 19-172149- -0 del 01 de agosto de 2019. “Por la cual se impone una sanción administrativa” Prueba aportada en denuncia radicada 19-172149-0 del 01 de agosto de 2019.

(Numeración del 1 al 265 adicionada por esta Dirección) Ahora bien, probada la divulgación masiva de datos personales a través del correo electrónico “feg@banserfin.com", se procederá a verificar si en virtud del principio de acceso y circulación restringida, el principio de seguridad y el deber de "conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento", la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S., con antelación al envío del correo electrónico del 31 de julio de 2019 había documentado e implementado las medidas, técnicas humanas y administrativas necesarias para evitar que sucediera una situación como la que es objeto de esta investigación. Más aún, resulta relevante establecer si tales medidas fueron conocidas por los empleados de la sociedad investigada, veamos: Respecto del principio de acceso y circulación restringida, la investigada afirmó que “El tratamiento de datos personales de información financiera se llevo (sic) a cabo con la debida autorización de tratamiento de datos impartida por los titulares al responsable de la información, que para el presente caso fue el Fondo de Empleados Granfondo, pues mi representada trata la información en calidad de encargado, en virtud del contrato de cobro de cartera (…)”18, para lo cual, aportó como prueba el documento “ORDEN DE VENTA DE SERVICIOS DE GESTIÓN DE COBRANZAS Y OTROS SERVICIOS PARA FONDO DE EMPLEADOS DE GRANFONDO” suscrito el 19 de marzo de 2013. 18 Descargos radicados bajo el número 19-172149- -00024-0001 del 28 de julio de 2020.

“Por la cual se impone una sanción administrativa” En cuanto al principio de seguridad, la investigada manifestó "pese a que este tipo de gestión de envío de correos no se realiza de manera masiva y a que se trató de un caso excepcional y a un error operativo involuntario por parte de una funcionaria (…) no quiere decir que mi representada no cuente con las medidas de seguridad (…) hemos adoptado y desplegado antes durante y después de estos hechos todas las medidas tecnológicas, administrativas y humanas que fortalecen los procedimientos de seguridad y mitigación de revelación y accesos no autorizados de datos personales de terceros (…). ”19, para lo cual, aportó con los descargos20 los siguientes documentos: 1.

“POLÍTICAS DE SEGURIDAD DE LA INFORMACIÓN Versión 5.0” 2. “MANUAL INTERNO PARA EL TRATAMIENTO DE DATOS PERSONALES” de septiembre de 2019. 3. “POLÍTICA DE TRATAMIENTO DE DATOS PERSONALES” de septiembre de 2019. 4. “CONVENIO DE CONFIDENCIALIDAD” suscrito el 04 de agosto de 2018. 5. “Constancia de aceptación y compromiso del documento de POLÍTICAS DE SEGURIDAD DE LA INFORMACIÓN, MANUAL DEL TRATAMIENTO DE DATOS PERSONALES Y POLÍTICAS DE TRATAMIENTO DE DATOS PERSONALES EN BANCA DE SERVICIOS FINANCIEROS S.A.S.BANSERFIN S.A.S.” suscrito el 28 de septiembre de 2019. 6.

“FORMATO CAPACITACIÓN” “TEMA: TRATAMIENTO Y PROTECCIÓN DE BASES DE DATOS PERSONALES” con fecha sobrepuesta ilegible. Revisado el documento “POLÍTICAS DE SEGURIDAD DE LA INFORMACIÓN Versión 5.0” se encuentra que no tiene fecha de vigencia, por lo que no se tiene certeza de si para la fecha de los hechos, dicho documento estaba implementado, no obstante, el documento “Constancia de aceptación y compromiso del documento de POLÍTICAS DE SEGURIDAD DE LA INFORMACIÓN, MANUAL DEL TRATAMIENTO DE DATOS PERSONALES Y POLÍTICAS DE TRATAMIENTO DE DATOS PERSONALES EN BANCA DE SERVICIOS FINANCIEROS S.A.S.BANSERFIN S.A.S.” fue suscrito por la colaboradora el 28 de septiembre de 2019, es decir, un (1) mes y veintiocho (28) días despúes de haber cometido el hecho objeto de esta investigación, esto es, 31 de julio de 2019.

Ahora bien, la investigada manifestó que “se trató de un caso excepcional y a un error operativo involuntario”, de lo cual, este Despacho señala que si la sociedad hubiese tenido implementadas las medidas de seguridad para manejar la información sujeta a Tratamiendo bajo las medidas técnicas, humanas y administrativas, no hubiese ocurrido el hecho objeto de la presente investigación. Pues como quedó demostrado anteriormente, una de las evidencias de ello, es la fecha de suscripción del documento por medio del cual, la funcionaria aceptó y se comprometió con las politicas de seguridad de la información. Igualmente, acerca del principio de seguridad la investigada afirmó que “(…) procedimos a rectificar una conducta que, ratificamos, no causó daño o perjuicio material o jurídico y ni siquiera un riesgo tangible de identificación clara o revelación de información personal o financiera de alguno de los dueños de dichas direcciones de correo electrónico ni un subsecuente beneficio irregular a un tercero o un potencial fraude.” Al respecto, esta Dirección no comparte que la investigada afirme que no generó daño o perjuicio con su conducta, en razón a que, causar daño no es un requisito jurídico para que la Superintendencia de Industria y Comercio pueda poner multas, es suficiente desconocer cualquiera de las disposiciones de la Ley 1581 de 2012, para que la administración ejerza su poder sancionatorio.

La presente investigación administrativa se inició para establecer si se cumplió o no la regulación sobre tratamiento de datos personales. A su vez, la Ley 1581 de 2012 en el artículo 24 literal a) estableció como criterio para graduar la sanción “La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley.”, por lo cual, es importante resaltar que, el legislador no solo estableció el daño como criterio para graduar la sanción, sino tambien, el peligro, entendido como aquel cuya realización crea la posiblidad de ocasionar una lesión a un bien jurídico tutelado.

Como en el caso concreto, el derecho a la protección de datos personales que motivó al denunciante para acudir a esta Superintendencia al manifestar “(…) quedaron al descubierto direcciones de 265 correos electrónicos, permitiendo con ello que terceras personas no autorizadas tuviesen acceso a estos datos (…)”. Por lo tanto, la sanción es consecuencia del incumplimiento del deber desde el momento en que los intereses jurídicos tutelados por el legislador hayan sido puestos en peligro. 19 Descargos radicados bajo el número 19-172149- -00024-0001 del 28 de julio de 2020. 20 Descargos radicados bajo el número 19-172149- -00012-0001 del 27 de noviembre de 2019.

“Por la cual se impone una sanción administrativa” En virtud de lo expuesto, la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S., no acreditó haber implementado y puesto en conocimiento de sus trabajadores, previo a la fecha del envío del correo electrónico, medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Como consecuencia de lo anterior, esta Dirección encuentra que la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S., no actuó diligentemente en el cumplimiento del deber “conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”, al remitir información de contacto de 264 Titulares diferentes al denunciante, de los cuales, aproximadamente 128 corresponden a direcciones de correos electrónicos privadas, expondiendo dicha información de contacto a terceros no autorizados a través del envío masivo del correo electrónico el 31 de julio de 2019.

Por lo expuesto, a juicio de esta Dirección se encuentra probado que la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S., incumplió con el deber contemplado en el literal b) del artículo 18, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012, por cuanto no acreditó haber implementado y puesto en conocimiento de sus colaboradores, previo a la fecha del envio del correo electrónico, esto es, 31 de julio de 2019, medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Razón por la cual, este Despacho impondrá a la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S. la sanción pecuniaria de QUINCE MILLONES DE PESOS M/CTE ($15.000.000) equivalente a 421,2654815 (UVT) Unidad de Valor Tributario. 10.3.3. Del deber de exigir al Encargado del Tratamiento en todo momento, el respecto a las condiciones de seguridad y privacidad de la información del Titular.

Respecto de este cargo formulado para la sociedad FONDO DE EMPLEADOS GRANFONDO – FEG., la Ley 1581 en el artículo 17 literal i), establece que uno de los deberes de los Responsables del Tratamiento es “Exigir al Encargado del Tratamiento en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular.” El anterior deber es interpretado de manera armónica con el principio de acceso y circulación restringida y el principio de seguridad, establecidos en la Ley 1581 de 2012 literales f) y g), como se citan a continuación: ARTÍCULO 4o.

PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los limites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratarmento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;

Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o tercetos autorizados conforme a la presente ley; g) Principio de seguridad: La Información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…). Sobre el principio de seguridad la Corte Constitucional en la sentencia C-748 de 2011 señaló: “Por la cual se impone una sanción administrativa” “2.6.5.2.7. Principio de seguridad: Al amparo de este principio, la información sujeta a tratamiento por el responsable o encargado, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

De este principio se deriva entonces la responsabilidad que recae en el administrador del dato. El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad internacional, en razón del efecto “diluvio de datos”, a través del cual día a día la masa de datos personales existentes, objeto de tratamiento y de ulterior transferencias, no cesa de aumentar.

Los avances tecnolígicos han producido un crecimiento de los sistemas de información, ya no se encuentran sólo sencillas bases de datos, sino que surgen nuevos fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros. Ello tambien aumenta los riesgos de filtración de datos, que hacen necesarias la adopción de medidas eficaces para su conservación. Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no solo en términos económicos, sino tambien en los ámbitos personales y de buen nombre.

En estos términos, el Responsable o Encargado del Tratamiento debe tomar las medidas acordes con e sistema de información correspondiente. (…). Existe entonces un deber tanto de los Responsables como los Encargados de establecer controles de seguridad, de acuerdo con el tipo de base de datos que se trate, que permita garantizar los estándares de protección consagrados en esta Ley Estatutaria.” Para el caso en concreto, mediante el escrito de descargos21 la sociedad FONDO DE EMPLEADOS GRANFONDO – FEG. manifestó en su defensa respecto del primer cargo que “(…) se cuenta con la autorización previa por parte de los titulares para el manejo de datos, estipulado en su formato de vinculación como asociado, (…)”, para lo cual, aportó como prueba el documento “Formato de Asociación” y resaltó en el escrito, el siguiente texto: “…“Autorizo el envío de información a través de correo electrónico, mensajes de texto y cualquier otro medio de comunicación. De acuerdo con la Ley Estatutaria 1581 de 2012 de Protección de Datos y con el Decreto 1377 de 2013, el Titular presta su consentimiento para que sus datos, facilitados voluntariamente, pasen a formar parte de una base de datos, cuyo responsable es GRANFONDO, cuyas finalidades son 1) validar la información en cumplimiento de la exigencia legal de conocimiento del cliente aplicable al FONDO DE EMPLEADOS GRANFONDO FEG, (2) adelantar las acciones de cobro y de recuperación de cartera, en virtud del Objeto social de la organización y que sean incorporados en distintas bases o bancos de datos, o en repositorios electrónicos de todo tipo con que cuenta la entidad.

Puede usted ejercitar los derechos de acceso, corrección, supresión, revocación o reclamo por infracción sobre sus datos, mediante escrito dirigido a GRANFONDO a la dirección de correo electrónico protecciondatos@feg.com.co indicando en el asunto el derecho que desea ejercitar, o mediante correo ordinario remitido a Calle 59ª bis 5-53 oficina 303 en Bogotá.”… Descargos radicados bajo el número 19-172149- -00026-0001 del 11 de agosto de 2020 sociedad FONDO DE EMPLEADOS GRANFONDO – FEG “Por la cual se impone una sanción administrativa” De la anterior prueba, se evidencia que la investigada aportó un formato sin diligenciar para soportar que tenía autorización de los Titulares destinatarios del correo electrónico enviado el 31 de julio de 2019.

No obstante, es preciso aclarar que, aunque los 265 titulares hubiesen otorgado dicha autorización, del análisis de su contenido, no está ni podría estarlo, la divulgacion masiva y descontrolada de los datos personales de los ciudadanos, como en este caso, el correo electrónico. Por consiguiente, este formato es insuficiente para acreditar el cumplimiento de su deber de “Exigir al Encargado del Tratamiento en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular”, armonizado con el “Principio de acceso y circulación restringida”22.

Igualmente, en el escrito de descargos frente al primer cargo, la investigada manifestó “se cuenta con un Manual de Políticas y Procedimientos de Tratamiento de Datos interna de manejo de datos personales donde puede ser consultada por nuestros afiliados o cualquier personal que lo requiera, publicada en nuestra página www.feg.com.co en el link que señalo a continuación https://feg.com.co/fegportal/imagens/norm interna/politica tratamientodatos.pdf”, y aportó el documento titulado “MANUAL DE POLÍTICAS Y PROCEDIMIENTOS DE TRATAMIENTO DE DATOS Fecha: Viernes, 24 de junio de 2016”.

Tambien manifestó que “Para nuestros proveedores se manejan dos formatos Formato Contrato de Transmisión de Datos Proveedores y Acuerdo de Confidencialidad y deber de secreto”23, para lo cual aportó lo siguiente: ARTÍCULO 4o. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los limites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratarmento sólo podrá hacerse por personas autorizad as por el Titular y/o por las personas previstas en la presente ley;

Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o tercetos autorizad os conforme a la presente ley; Descargos radicados bajo el número 19-172149- -00026-0001 del 11 de agosto de 2020 sociedad FONDO DE EMPLEADOS GRANFONDO – FEG “Por la cual se impone una sanción administrativa” 1.

“ACUERDO DE CONFIDENCIALIDAD Y DEBER DE SECRETO ” “Por la cual se impone una sanción administrativa” 2. “CONTRATO DE TRANSMISIÓN DE DATOS” “Por la cual se impone una sanción administrativa” “Por la cual se impone una sanción administrativa” Los formatos “ACUERDO DE CONFIDENCIALIDAD Y DEBER DE SECRETO” y “CONTRATO DE TRANSMISIÓN DE DATOS”, están sin diligenciar, con esto, se evidencia una conducta negligente de la sociedad FONDO DE EMPLEADOS GRANFONDO – FEG., al aportar preformas generales para desvirtuar el cargo formulado.

Por lo tanto, al no acreditar los documentos que suscribió con la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S., se evidencia el incumplimiento de su deber de “Exigir al Encargado del Tratamiento en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular”. Tambien, resulta reprochable la conducta del Responsable frente a la obligación establecida en el numeral 9 del “MANUAL DE POLÍTICAS Y PROCEDIMIENTOS DE TRATAMIENTO DE DATOS”, donde indica que mediante el contrato de transmisión requiere al Encargado la implementación de las medidas de seguridad, veamos: “Por la cual se impone una sanción administrativa” Además, la sociedad FONDO DE EMPLEADOS GRANFONDO – FEG., afirmó que revisó y exigió que la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S. cumpliera las normas de seguridad en el tratamiento de datos y luego lo ratificó mediante la orden de venta de servicios, lo cual expresó así: “una vez la empresa BANCA DE SERVICIOS FINANCIEROS S.A.S presentó sus servicios de gestión de cobranza al FONDO DE EMPLEADOS GRANFONDO, se revisó que cumplieran con las normas de seguridad del tratamiento de datos y con lo estipulado en la ley Estatutaria 1581 de 2012, posteriormente se ratificó en documento con la aceptación y aplicación del buen manejo del tratamiento de los datos firmado por el representante legal GERMÁN ADOLFO HUÉRFANO MÉNDEZ por medio de la orden de venta de servicios de gestión de cobranza y otros servicios para el FONDO DE EMPLEADOS GRANFONDO” Para lo cual, aportó el documento “ORDEN DE VENTA DE SERVICIOS DE GESTIÓN DE COBRANZA Y SERVICIOS PARA FONDO DE EMPLEADOS DE GRANFONDO” con fecha de suscripción 19 de marzo de 2013, y destacó de dicho documento, en el escrito de descargos, el siguiente texto: “10.

CONFIDENCIALIDAD Y PROPIEDAD DE LA INFORMACIÓN En caso de ser aceptada la presente oferta mercantil mediante la correspondiente orden de venta de servicios, la información que FONDO FEG haya proporcionado o proporcione a EL DESTINATARIO, antes y durante el desarrollo o con ocasión de la aceptación y ejecución de los servicios en virtud de la presente oferta mercantil, es de propiedad exclusiva de FONDO FEG y de carácter confidencial y como tal deberá será tratada, estando su uso estricta y directamente relacionado con la prestación de los servicios, todo de conformidad con las condiciones que se exponen a continuación: • En adelante se llamará Información Confidencial a toda la información recibida o que reciba EL DESTINATARIO de FONDO FEG, bien sea en forma oral o escrita. • El DESTINATARIO se obliga a no revelar a terceras personas la Información confidencial que reciba y en consecuencia, se obliga a mantenerla de manera confidencial y privada, y a protegerla para evitar su divulgación, ejerciendo el mismo grado de control que utilizaría para proteger la información confidencial de su propiedad, obligándose además a hacer extensiva esta obligación a sus accionistas, directivos, empleados y/o contratistas.

EL DESTINATARIO no utilizará la información confidencial para fines comerciales o para la prestación de servicios a terceros y sólo la utilizará para el cumplimiento del objeto y de las obligaciones que surjan a partir de la aceptación de la presente Oferta Mercantil. La Información Confidencial sólo podrá reproducirse si ello resulta necesario para cumplir tal finalidad y sólo se dará a conocer a aquellos empleados, trabajadores, asesores que tengan necesidad de tal conocimiento.

En este último evento deberá advertirse a dichos empleados, trabajadores, el carácter confidencial de la información, al tiempo que deberá advertírseles respecto de los términos de este acuerdo. EL DESTINATARIO responderá por el cumplimiento de lo aquí dispuesto y, en todo caso, indemnizará a FONDO FEG por los perjuicios que la divulgación de la información confidencial le ocasione. • • La obligación de no revelar la Información Confidencial y las restricciones para su utilización no existirá o cesará cuando: ▪ Se haya convertido en información de dominio público, sin haberse producido violación de las presentes obligaciones por parte de EL DESTINATARIO. ▪ Sea divulgada por EL DESTINATARIO para cumplir con un requerimiento legal de una autoridad competente en ejercicio de sus funciones, pero en tal caso deberá informar' de tal hecho a FONDO FEG, antes de su divulgación, de tal forma que ésta tenga la oportunidad de defenderla, limitarla o protegerla. ▪ EL DESTINATARIO y FONDO FEG convengan por escrito y previamente a su revelación, que la información queda libre de tales restricciones. • La Información Confidencial que conozca EL DESTINATARIO será de propiedad exclusiva de FONDO FEG. • La entrega de Información Confidencial no concede a EL DESTINATARIO autorización, permiso o derechos de autor o de cualquier otro derecho de propiedad industrial o intelectual. • EL DESTINATARIO DE LA OFERTA se obliga a mantener la confidencialidad de la información por un período indefinido a partir del momento en que reciba la información.” “Por la cual se impone una sanción administrativa” OBLIGACIONES A CARGO DE EL DESTINATARIO • • • • Desarrollar de manera diligente, oportuna y a entera satisfacción de FONDO FEG el objeto de la presente Oferta Mercantil.

Dar tratamiento de confidencialidad a toda la información a la que tenga acceso con ocasión de los servicios prestados; no divulgar, emitir, publicar o comunicar directa o indirectamente a tercero; la información que con ocasión de la prestación de los servicios llegare a conocer. Garantizar la preparación, experiencia e idoneidad del personal que participa en la prestación del servicio; capacitando a su personal para asegurar un alto nivel de desempeño y efectividad.

Proveer un grupo de personal técnico de soporte y monitoreo para garantizar la correcta ejecución de los servicios que preste EL DESTINATARIO en virtud de la presente oferta mercantil, en los términos y condiciones definidos por FONDO FEG.” De lo anterior, este Despacho encuentra que, aunque la sociedad FONDO DE EMPLEADOS GRANFONDO – FEG. dejó establecido en el contrato la obligación de “Dar tratamiento de confidencialidad a toda la información a la que tenga acceso con ocasión de los servicios prestados; no divulgar, emitir, publicar o comunicar directa o indirectamente a tercero (…)” a cargo de la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S., no aportó documento adicional que soportara su afirmación respecto de que realizó una revisión previa a la suscripción del mismo, en cuanto al cumplimiento de las normas de seguridad para la protección de datos personales.

De otra parte, en la valoración del documento precitado aportado como prueba por la investigada, para este Despacho es oportuno destacar el siguiente texto: Por lo anterior, la sociedad FONDO DE EMPLEADOS GRANFONDO – FEG. en calidad de Responsable, debió aportar a la investigación los informes de auditoria realizadas a la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S., encargada del tratamiento de datos personales, respecto “del servicio ofrecido y en especial a la seguridad de los procesos relacionados con los servicios prestados”.

De lo anterior, el Responsable no aportó documento que acredite tal obligación, por el contrario, aportó formatos sin diligenciar, dejando en evidencia una vez más, su negligencia en el cumplimiento de su deber de “Exigir al Encargado del Tratamiento en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular”.

Así las cosas, este Despacho encuentra que la sociedad FONDO DE EMPLEADOS GRANFONDO – FEG. en su calidad de Responsable no aportó documento alguno, con el cual, desvirtúe el incumplimiento de su deber de exigir al Encargado del Tratamiento en todo momento, el respeto a las condiciones de seguridad acceso y circulación restringidade la información del Titular, establecido en el literal i) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012.

Razón por la cual, se impondrá la sanción pecuniaria de QUINCE MILLONES DE PESOS M/CTE ($15.000.000) equivalente a 421,2654815 (UVT) Unidad de Valor Tributario. “Por la cual se impone una sanción administrativa” 10.3.4. Del deber de Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.

Para empezar, es necesario recordar que el Responsable tiene el deber de tratar la información que se encuentra almacenada en su base de datos bajo medidas de seguridad idóneas, que garantice la custodia de los datos personales que tiene a su cargo, y en ese sentido le es imperativo reportar ante la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los titulares.

La Ley 1581 de 2012 prevé este deber en el literal n) del artículo 17, que se cita: "ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) n) Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.

(…)” Igualmente, el cargo formulado se analiza en concordancia con el artículo 25 de la Ley 1581 de 2012, el cual, establece que el Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país, como se cita a continuación:

ARTÍCULO 25. DEFINICIÓN. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos. Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes.

Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley.

PARÁGRAFO. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en este los Responsables del Tratamiento.” (Negrita adicionada) Al respecto, la Circular Externa No. 02 del 03 de noviembre de 2015 que “Adiciona el Capítulo Segundo en el Título V de la Circular Única de esta Superintendencia, sobre el Registro Nacional de Bases de Datos-RNBD”24 en el Capítulo segundo literal g), establece lo siguiente: CAPTÍTULO SEGUNDO: REGISTRO NACIONAL DE BASES DE DATOS –RNBD* 2.1.

Información adicional que deberá inscribirse en el Registro Nacional de Bases de Datos – RNBD Los Responsables del Tratamiento, personas jurídicas de naturaleza privada inscritas en las Cámaras de Comercio y sociedades de economía mixta, deben inscribir en el Registro Nacional de Bases de Datos – RNBD - la siguiente información, además de la establecida mediante el Capítulo 26 del Decreto Único 1074 de 2015. g) Reporte de novedades.

Una vez finalizada la inscripción de la base de datos en el RNBD, se reportarán como novedades los reclamos presentados por los Titulares y los incidentes de seguridad que afecten la base de datos, de acuerdo con las siguientes reglas: (i) Reclamos presentados por los Titulares. Corresponde a la información de los reclamos presentados por los Titulares ante el Responsable y/o el Encargado del Tratamiento, según sea el caso, dentro de un semestre calendario (enero – junio y julio – diciembre).

Circular Externa No. 02 del 3 de noviembre de 2015 que “Adiciona el Capítulo Segundo en el Título V de la Circular Única de esta Superintendencia, sobre el Registro Nacional de Bases de Datos –RNBD”. Disponible en: https://www.sic.gov.co/sites/default/files/normatividad/Titulo%20V%20Proteccion_Datos_Personales.pdf “Por la cual se impone una sanción administrativa” Esta información se reportará teniendo en cuenta lo manifestado por los Titulares y los tipos de reclamos prestablecidos en el registro.

El reporte deberá ser el resultado de consolidar los reclamos presentados por los Titulares ante el Responsable y el (los) Encargado (s) del Tratamiento. (ii) Incidentes de seguridad. Se refiere a la violación de los códigos de seguridad o la pérdida, robo y/o acceso no autorizado de información de una base de datos administrada por el Responsable del Tratamiento o por su Encargado, que deberán reportarse al RNBD dentro de los quince (15) días hábiles siguientes al momento en que se detecten y sean puestos en conocimiento de la persona o área encargada de atenderlos.

La información relacionada con las medidas de seguridad, los reclamos presentados por los Titulares y los incidentes reportados por los Responsables del Tratamiento no estará disponible para consulta pública. (…)”. En relación con este cargo, la sociedad FONDO DE EMPLEADOS GRANFONDO – FEG. en el escrito de descargos afirmó que “(…) para este cargo se logró evidencia que existió una omisión frente al reporte de la falla frente al Registro Nacional de Bases de Datos RNBD, lo anterior se dio frente a una presunta inobservancia de la norma de los funcionarios responsables en el momento de ocurridos los hechos.” La anterior afirmación es una aceptación expresa que hace la investigada sobre la comisión de la infracción del deber de “Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares”.

En consecuencia, esta Drección encuentra probado que la sociedad FONDO DE EMPLEADOS GRANFONDO – FEG. incumplió el literal n) del artículo 17, en concordancia con el artículo 25 de la Ley 1581 de 2012, y literal g) del capítulo segundo de la Circular Externa No. 02 del 3 de noviembre de 2015 que “Adiciona el Capítulo Segundo en el Título V de la Circular Única de esta Superintendencia, sobre el Registro Nacional de Bases de Datos –RNBD”; por ello, se impondrá la sanción pecuniaria de DIEZ MILLONES DE PESOS M/CTE ($10.000.000), equivalente a 280,8436543 (UVT) Unidad de Valor Tributario.

DÉCIMO PRIMERO: Imposición y graduación de la sanción 11.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la misma ley, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Por la cual se impone una sanción administrativa” “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 25.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: Multa en UVT De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional26 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) “Por la cual se impone una sanción administrativa” de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad” 27 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de hábeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de hábeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros 28. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad” 29.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia30. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2331 de la misma ley.

Así mismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra.

Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5; Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas.

Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en:http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspen sión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” “Por la cual se impone una sanción administrativa” b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 11.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: "En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad Implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad.” De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados.32 También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Así como, la conducta de la investigada durante el trámite de la investigación administrativa. Para el caso que nos ocupa, quedó demostrado que la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S. y FONDO DE EMPLEADOS GRANFONDO – FEG., vulneraron los deberes contemplados en la Ley 1581 de 2012, así: 1. La sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S. en calidad de Encargado vulneró su deber contemplado en: i) El literal b) del artículo 18, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012, porque no acreditó haber implementado medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los registros, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

En razón a que el 31 de julio de 2019 envió un correo electrónico con información de contacto de 264 Titulares diferentes al denunciante, de los cuales, aproximadamente 128 correspondía a direcciones de correos electrónicos privadas, expondiendo dicha información a terceros no autorizados. Ley 1581 de 2012 "Artículo 23 La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.0 00) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista al incumplimiento que las originó, b) Suspensión de las actividades relacionadas con e/ Tratamiento hasta por un término de seis (6) meses.

En acto do Suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de industria y Comercio advierta un presunto inc umplimiento de una autoridad pública a las disposiciones de ja presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva." “Por la cual se impone una sanción administrativa” Como consencuencia se impondrá la sanción pecuniaria de QUINCE MILLONES DE PESOS M/CTE ($15.000.000) equivalente a 421,2654815 (UVT) Unidad de Valor Tributario. 2.

La sociedad FONDO DE EMPLEADOS GRANFONDO – FEG. en calidad de Responsable, vulneró su deber contemplado en: i) El literal i) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012, por cuanto, no acreditó el cumplimiento de su deber de exigir al Encargado de Tratamiento, en este caso la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S., el respeto en todo momento a las condiciones de seguridad, acceso y circulación restringida de la información del Titular.

En razón a que no garantizó que la información sujeta a Tratamiento por parte del Encargado, se manejara con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. Por ello, se impondrá la sanción pecuniaria de QUINCE MILLONES DE PESOS M/CTE ($15.000.000) equivalente a 421,2654815 (UVT) Unidad de Valor Tributario. ii) El literal n) del artículo 17, en concordancia con el artículo 25 de la Ley 1581 de 2012, y literal g) del capítulo segundo de la Circular Externa No. 02 del 3 de noviembre de 2015 que “Adiciona el Capítulo Segundo en el Título V de la Circular Única de esta Superintendencia, sobre el Registro Nacional de Bases de Datos –RNBD”, por no informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.

Por consiguiente se impondrá la sanción pecuniaria de DIEZ MILLONES DE PESOS M/CTE ($10.000.000), equivalente a 280,8436543 (UVT) Unidad de Valor Tributario. 11.1.2. El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar. El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581 de 2012 se aplicará toda vez que la sociedad FONDO DE EMPLEADOS GRANFONDO – FEG. en calidad de Responsable, en el escrito de descargos33 reconoció la comisión de la infracción al deber contemplado en el literal n) del artículo 17, en concordancia con el artículo 25 de la Ley 1581 de 2012, y literal g) del capítulo segundo de la Circular Externa No. 02 del 3 de noviembre de 2015 que “Adiciona el Capítulo Segundo en el Título V de la Circular Única de esta Superintendencia, sobre el Registro Nacional de Bases de Datos –RNBD”., expresamente así: “(…) para este cargo se logró evidencia que existió una omisión frente al reporte de la falla frente al Registro Nacional de Bases de Datos RNBD, lo anterior se dio frente a una presunta inobservancia de la norma de los funcionarios responsables en el momento de ocurridos los hechos.” En consecuencia, se procederá a realizar una reducción del 50% de la sanción impuesta a la sociedad FONDO DE EMPLEADOS GRANFONDO – FEG. en el cargo segundo por la vulneración al deber de “Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.”, establecido en el literal n) del artículo 17, en concordancia con el artículo 25 de la Ley 1581 de 2012, y literal g) del capítulo segundo de la Circular Externa No. 02 del 3 de noviembre de 2015 que “Adiciona el Capítulo Segundo en el Título V de la Circular Única de esta Superintendencia, sobre el Registro Nacional de Bases de Datos –RNBD.

Por lo tanto, el monto original de la sanción de DIEZ MILLONES DE PESOS M/CTE ($10.000.000), equivalente a 280,8436543 (UVT) Unidad de Valor Tributario, será reducida al 50%, quedando para el segundo cargo un total de sanción pecunaria de CINCO MILLONES DE PESOS M/CTE ($5.000.000) equivalente a 140,4218272 (UVT) Unidad de Valor Tributario. 11.1.3 Otros criterios de graduación Descargos radicados bajo el número 19-172149- -00026-0001 del 11 de agosto de 2020 sociedad FONDO DE EMPLEADOS GRANFONDO – FEG “Por la cual se impone una sanción administrativa” Se aclara que los criterios de graduación de la sanción señalados en los literales b), c) d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que dentro de la investigación realizada (i) no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción Investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

DÉCIMO SEGUNDO: RESPONSABILIDAD TRATAMIENTO DE DATOS PERSONALES. DEMOSTRADA (ACCOUNTABILITY) EN EL La regulación colombiana le impone al Responsable o al Encargado del Tratamiento, la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad.

Por el contrario, debe ser real y demostrable. Al respecto, nuestra jurisprudencia ha determinado que “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos que contengan información personal o socialmente relevante”34. Adicionalmente, es importante resaltar que los responsables o encargados del tratamiento de los datos, no se convierten en dueños de los mismos como consecuencia del almacenamiento en sus bases o archivos.

En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada. Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los titulares de los datos.

En virtud de lo anterior, el Capítulo III del Decreto 1377 de 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. El artículo 2635 -Demostración- establece que, “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.

Así, resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

El artículo 27-Políticas Internas Efectivas-, exige que los responsables del tratamiento de datos implementen medidas efectivas y apropiadas que garanticen, entre otras: “(…) 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, con respecto a cualquier aspecto del tratamiento.”36 Cfr. Corte Constitucional, sentencia T-227 de 2003.

El texto completo del artículo 26 del Decreto 1377 de 2013 ordena: “Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y ef ectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una m icro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un req uerimiento de la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recol ectada y una explicación sobre la relevancia de los datos personales en cada caso. En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta de las medidas de seguridad apropiadas evidencia sobre la implementación efectiva El texto completo del artículo 27 del Decreto 1377 de 2013 señala: “Políticas internas efectivas.

En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Re sponsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable par a la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2.

La adopción de mecanismos internos para poner en práctica estas polít icas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”.

“Por la cual se impone una sanción administrativa” Con el propósito de dar orientaciones sobre la materia, la Superintendencia de Industria y Comercio expidió el 28 de mayo de 2015 la “Guía para implementación del principio de responsabilidad demostrada37(accountability)38”. El término “accountability”39, a pesar de tener diferentes significados, ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.

Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, son: 1. Diseñar y activar un programa integral de gestión de datos (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza; 2.

Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP; y 3. Demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales. El principio de responsabilidad demostrada –accountability- demanda implementar acciones de diversa naturaleza 40 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales.

El mismo, exige que los responsables y encargados del tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales.

El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido tratamiento de los datos personales. El éxito del mismo, dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido, cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de datos.

Adicionalmente, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo [sic] redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento indebido de sus datos personales” 41.

(Énfasis añadido) El principio de responsabilidad demostrada, busca que los mandatos constitucionales y legales sobre tratamiento de datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas. Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del tratamiento de la información. De manera que, por iniciativa propia, adopten medidas estratégicas, idóneas y suficientes, que permitan garantizar: i) los derechos de los titulares de los datos personales y ii) una gestión respetuosa de los derechos humanos. El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf “El término “accountability” puede ser traducido por rendición de cuentas.

Esta voz inglesa, que, en su uso cotidiano, significa ‘responsabilidad’, ha comenzado a emplearse en política y en el mundo empresarial para hacer referencia a un concepto más amplio relacionado con un mayor compromiso de los Gobiernos y empresas con la transparencia de sus acciones y decisiones (…) el término accountability puede ser traduci do por sistema o política de rendición de cuentas o, simplemente, por rendición de cuentas (…)” Recuperado de https://www.fundeu.es/recomendacion/rendicionde-cuentas-ynorendimientomejor-que-accountability-1470/ el 22 de abril de 2019.

Cfr. Grupo de trabajo de protección de datos del artículo 29. Dictamen 3/2010 sobre el principio de responsabilidad, pág. 8. Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimism o involucran procesos y procedimientos con características propias en atención al objetivo que persiguen.

Cfr. Red Iberoamericana de Protección de Datos. Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo d e 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cer cana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las or ganizaciones y definan en sus políticas o regulaciones internas.

“Por la cual se impone una sanción administrativa”

DÉCIMO TERCERO: CONCLUSIONES Respecto de la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S. en calidad de Encargada: • Se comprobó que vulneró su deber contemplado en el literal b) del artículo 18, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012, porque no acreditó haber implementado medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los registros, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

En razón a que el 31 de julio de 2019 envió un correo electrónico con información de contacto de 264 Titulares diferentes al denunciante, de los cuales, aproximadamente 128 correspondía a direcciones de correos electrónicos privadas, expondiendo dicha información a terceros no autorizados. Por consiguiente, se impondrá la sanción de QUINCE MILLONES DE PESOS M/CTE ($15.000.000) equivalente a 421,2654815 (UVT) Unidad de Valor Tributario.

Respecto de la sociedad FONDO DE EMPLEADOS GRANFONDO – FEG. en calidad de Responsable: • En el primer cargo, quedó demostrado que vulneró su deber contemplado en el literal i) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012, por cuanto, no acreditó el cumplimiento de su deber de exigir al Encargado de Tratamiento, en este caso la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S., el respeto en todo momento a las condiciones de seguridad y privacidad de la información del Titular.

En razón a que no garantizó que la información sujeta a Tratamiento por parte del Encargado, se manejara con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. Por ello, se impondrá la sanción de QUINCE MILLONES DE PESOS M/CTE ($15.000.000) equivalente a 421,2654815 (UVT) Unidad de Valor Tributario. • En el segundo cargo, reconoció el incumplimiento de su deber establecido en el literal n) del artículo 17, en concordancia con el artículo 25 de la Ley 1581 de 2012, y literal g) del capítulo segundo de la Circular Externa No. 02 del 3 de noviembre de 2015 que “Adiciona el Capítulo Segundo en el Título V de la Circular Única de esta Superintendencia, sobre el Registro Nacional de Bases de Datos –RNBD”, porque no informó a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.

Como consecuencia, se impondrá la sanción de CINCO MILLONES DE PESOS M/CTE ($5.000.000) equivalente a 140,4218272 (UVT) Unidad de Valor Tributario. Este monto de sanción es el resultado de la atenuación aplicada por el criterio de reconocimiento en la comisión de la infracción, toda vez que, para el cargo segundo el monto tasado original fue de DIEZ MILLONES DE PESOS M/CTE ($10.000.000), equivalente a 280,8436543 (UVT) Unidad de Valor Tributario.

DÉCIMO CUARTO: Que, en virtud de la situación actual, teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes, por lo que la sociedad debe: (i) Enviar un correo electrónico a contactenos@sic.gov.co o habeasdata@sic.gov.co, solicitando el acceso al expediente a través de la plataforma servicios en línea, indicando: número de radicado, nombre completo de la persona que va a consultar el expediente, número de identificación y correo electrónico autorizado;

(ii) Una vez reciba respuesta positiva respecto de la solicitud de acceso, la sociedad debe registrarse en servicios en línea link https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php y a través del mismo link posteriormente al registro puede consultar el expediente de manera digital. “Por la cual se impone una sanción administrativa” No obstante, en aras de garantizar los derechos de defensa y contradicción de la sociedad, en el caso en que la misma considere necesario el acceso del expediente en físico, deberá enviar un correo electrónico a la dirección de correo habeasdata@sic.gov.co, solicitando que le asignen una cita para que pueda examinar el expediente, con el número de la referencia, en las instalaciones de la garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad.

En mérito de lo anterior, esta Dirección

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S., identificada con Nit. 900.069.458-1 de QUINCE MILLONES DE PESOS M/CTE ($15.000.000) equivalente a 421,2654815 (UVT) Unidad de Valor Tributario, por la violación a lo dispuesto en el literal b) del artículo 18, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 8999990902. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: NOTIFICAR personalmente el contenido de la presente resolución a sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S., identificada con Nit. 900.069.458-1, a través de su representante legal y/o apoderado, entregándole copia de esta e informándole que contra ella procede el recurso de reposición, ante el Director de Investigación de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO TERCERO: IMPONER una sanción pecuniaria a la sociedad FONDO DE EMPLEADOS GRANFONDO – FEG., identificada con Nit. 800.097.913-8 de VEINTE MILLONES DE PESOS M/CTE ($20.000.000) equivalente a 561,6873087 (UVT) Unidad de Valor Tributario, por la violación a lo dispuesto en: i) El literal i) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012 y, ii) El literal n) del artículo 17, en concordancia con el artículo 25 de la Ley 1581 de 2012, y literal g) del capítulo segundo de la Circular Externa No. 02 del 3 de noviembre de 2015 que “Adiciona el Capítulo Segundo en el Título V de la Circular Única de esta Superintendencia, sobre el Registro Nacional de Bases de Datos –RNBD”.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 8999990902. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO CUARTO: NOTIFICAR personalmente el contenido de la presente resolución a sociedad FONDO DE EMPLEADOS GRANFONDO – FEG., identificada con Nit. 800.097.913-8, a través de su representante legal y/o apoderado, entregándole copia de esta e informándole que contra ella procede el recurso de reposición, ante el Director de Investigación de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días siguientes a su notificación. “Por la cual se impone una sanción administrativa”

ARTÍCULO QUINTO: COMUNICAR al señor XXXXXX XXXXXX XXXXX XXXXXX identificado con la C.C. XXXXXX XXXXXX, el contenido de la presente decisión.

NOTIFIQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., a los 04 DICIEMBRE 2020 El Director de Investigación de Protección de Datos Personales, CARLOS ENRIQUE SALAZAR MUÑOZ Firmado digitalmente por CARLOS ENRIQUE SALAZAR MUÑOZ Fecha: 2020.12.04 13:25:31 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: MGR Revisó: LMRZ Aprobó: CESM NOTIFICACIÓN: Investigada Entidad: Identificación: Representante Legal: Identificación: Dirección: Correo electrónico: Ciudad: BANCA DE SERVICIOS FINANCIEROS S.A.S. Nit. 900.069.458-1 GERMÁN ADOLFO HUERFANO MÉNDEZ C.C. No. 19.395.834 Carrera 18 No. 78-40 oficina 602 INFO@BANSERFIN.COM Bogotá, D.C-Colombia Investigada Entidad: Identificación: Representante Legal: Identificación: Dirección: Correo electrónico: Ciudad: FONDO DE EMPLEADOS GRANFONDO – FEG.

Nit. 800.097.913-8 JORGE HELI MORALES C.C. No. 19.274.250 Calle 59 A Bis No. 5-53 oficina 303 directorfinanciero@feg.com.co Bogotá, D.C-Colombia COMUNICACIÓN: Entidad: Identificación: Dirección: Ciudad: Correo electrónico: XXXXXX XXXXXX XXXXX XXXXXX C.C. XXXXXXXXX XXXXXX XXXXXX XXXXX XXXXXX XXXXXX XXXXXX XXXXX XXXXXX XXXXXX XXXXXX XXXXX XXXXXX